FICHE CVE

CVE-2023-34102

Publiée le 2023-06-05 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le framework Avo admin panel pour Ruby on Rails sont concernées. Un attaquant disposant d'identifiants d'utilisateur de bas niveau peut exécuter du code arbitraire sur votre serveur ou faire planter l'application en envoyant des données spécialement conçues vers des champs polymorphes. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction de l'utilisateur, seulement un compte authentifié basique.

CVSS 3.18.3 ÉLEVÉE

Type de faiblesse

Validation des entrées insuffisante · CWE-20 CWE-470

Publiée2023-06-05

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Avo is an open source ruby on rails admin panel creation framework. The polymorphic field type stores the classes to operate on when updating a record with user input, and does not validate them in the back end. This can lead to unexpected behavior, remote code execution, or application crashes when viewing a manipulated record. This issue has been addressed in commit `ec117882d` which is expected to be included in subsequent releases. Users are advised to limit access to untrusted users until a new release is made.