CVE-2019-5420
Publiée le 2019-03-27 · Dernière modification le 2026-06-17
Les applications Ruby on Rails s'exécutant en mode développement (versions antérieures à 5.2.2.1 et 6.0.0.beta3) sont vulnérables à l'exécution de code à distance. Un attaquant non authentifié disposant d'un accès réseau peut deviner le jeton secret généré automatiquement afin d'exécuter des commandes arbitraires sur votre serveur. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'exploitation est simple à réaliser si l'application est exposée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A remote code execution vulnerability in development mode Rails <5.2.2.1, <6.0.0.beta3 can allow an attacker to guess the automatically generated development mode secret token. This secret token can be used in combination with other Rails internals to escalate to a remote code execution exploit.