CVE-2019-25061
Publiée le 2022-05-18 · Dernière modification le 2026-06-17
Les applications utilisant la gem Ruby `random_password_generator` (version 1.0.0 et antérieures) génèrent des mots de passe prévisibles plutôt que véritablement aléatoires. Un attaquant distant non authentifié peut exploiter cette faiblesse mathématique pour deviner ou calculer les mots de passe des utilisateurs, pouvant ainsi obtenir un accès non autorisé à des comptes. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, le risque dépend entièrement du fait que votre application s'appuie sur cette gem pour des identifiants critiques pour la sécurité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The random_password_generator (aka RandomPasswordGenerator) gem through 1.0.0 for Ruby uses Kernel#rand to generate passwords, which, due to its cyclic nature, can facilitate password prediction.