CVE-2019-5421
Publiée le 2019-04-03 · Dernière modification le 2026-06-17
Les applications utilisant la gem d'authentification Devise (version 4.5.0 et versions antérieures) avec le module « lockable » activé sont susceptibles d'être affectées par une condition de concurrence (race condition). Un attaquant peut contourner les protections de verrouillage de compte en envoyant plusieurs requêtes de connexion simultanées, ce qui lui permet de continuer à tester des mots de passe par force brute sans être bloqué. Cette opération peut être effectuée via le réseau par tout utilisateur non authentifié, sans nécessiter d'interaction de la part de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Plataformatec Devise version 4.5.0 and earlier, using the lockable module contains a CWE-367 vulnerability in The `Devise::Models::Lockable` class, more specifically at the `#increment_failed_attempts` method. File location: lib/devise/models/lockable.rb that can result in Multiple concurrent requests can prevent an attacker from being blocked on brute force attacks. This attack appear to be exploitable via Network connectivity - brute force attacks. This vulnerability appears to have been fixed in 4.6.0 and later.