There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The Authlogic gem for Ruby on Rails, when used with certain versions before 3.2.10, makes potentially
    unsafe find_by_id method calls, which might allow remote attackers to conduct CVE-2012-6496 SQL injection
    attacks via a crafted parameter in environments that have a known secret_token value, as demonstrated by a
    value contained in secret_token.rb in an open-source product. (CVE-2012-6497)

Phenoelit 的 joernchen 發現 rails (一種適用於 Web 應用程式開發的 MVC ruby 型架構) 未正確處理使用者向「find_by_*」方法提供的輸入。視 rails 應用程式上的 ruby 使用這些方法的方式而定，此錯誤允許攻擊者執行 SQL 插入攻擊，例如，如果使用 Authlogic 且已知工作階段私密 token，則可繞過驗證。

Phenoelit 的 joernchen 发现 rails（基于 MVC ruby 且针对 Web 应用程序开发调整过的框架）未正确处理用户为“find_by_*”方法提供的输入。根据 ruby on rails 应用程序使用这些方法的方式，如果使用 Authlogic 并且会话秘密标记已知，这允许攻击者执行 SQL 注入攻击，如绕过认证。

Phenoelit の joernchen は、Web アプリケーション開発向けに適合させた MVC ruby ベースのフレームワークである Rails が、「find_by_*」メソッドへのユーザー指定の入力を適切に処理していないことを発見しました。これにより、Rails アプリケーション上の ruby がこれらのメソッドを利用する方法によっては、攻撃者が SQL インジェクション攻撃を行うことが可能となり、たとえば Authlogic が使用されるとともに、そのセッションの秘密トークンが既知の場合に、認証のバイパスなどが可能になります。

joernchen of Phenoelit discovered that rails, an MVC ruby based framework geared for web application development, is not properly treating user-supplied input to 'find_by_*' methods. Depending on how the ruby on rails application is using these methods, this allows an attacker to perform SQL injection attacks, e.g., to bypass authentication if Authlogic is used and the session secret token is known.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418985	SCA: security update for authlogic (GHSA-rx7j-mw4c-76g9)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	critical
418985	SCA: security update for authlogic (GHSA-rx7j-mw4c-76g9)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	critical
63382	Debian DSA-2597-1：rails - 輸入驗證錯誤	Nessus	Debian Local Security Checks	2013/1/7	2021/1/11	high
63382	Debian DSA-2597-1：rails - 输入验证错误	Nessus	Debian Local Security Checks	2013/1/7	2021/1/11	high
63382	Debian DSA-2597-1：Rails - 入力検証エラー	Nessus	Debian Local Security Checks	2013/1/7	2021/1/11	high
63382	Debian DSA-2597-1 : rails - input validation error	Nessus	Debian Local Security Checks	2013/1/7	2021/1/11	high

检测

插件搜索

critical

critical

high

high

high

high