There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In strategy.rb in OmniAuth before 1.3.2, the authenticity_token value is improperly protected because POST
    (in addition to GET) parameters are stored in the session and become available in the environment of the
    callback phase. (CVE-2017-18076)

Lalith Rallabhandi 發現在 web 應用程式中實作多提供者驗證的 Ruby 程式庫 OmniAuth 未正確處理且會洩漏敏感資訊。有權存取回呼環境 (例如透過特製 web 應用程式) 的攻擊者可以從此模組要求驗證服務，並存取 CSRF 權杖。

Lalith Rallabhandi 发现用于在 web 应用程序中实现多提供商身份验证的 Ruby 库 OmniAuth 错误处理并泄露敏感信息。有权访问回调环境的攻击者（例如利用特制的 web 应用程序）可从此模块请求身份验证服务和 CSRF 令牌的访问权限。

Lalith Rallabhandi氏は、Webアプリケーションにマルチプロバイダー認証を実装するためのRubyライブラリであるOmniAuthが、機密情報を誤って処理して漏洩していることを発見しました。細工されたWebアプリケーションの場合など、コールバック環境にアクセスできる攻撃者が、このモジュールから認証サービスをリクエストし、CSRFトークンにアクセスする可能性があります。

Lalith Rallabhandi discovered that OmniAuth, a Ruby library for implementing multi-provider authentication in web applications, mishandled and leaked sensitive information. An attacker with access to the callback environment, such as in the case of a crafted web application, can request authentication services from this module and access to the CSRF token.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
423412	SCA: security update for omniauth (GHSA-9pr6-grf4-x2fr)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/29	2026/7/2	high
423412	SCA: security update for omniauth (GHSA-9pr6-grf4-x2fr)	Tenable Cloud Security	SCA Checks	2025/3/29	2026/7/2	high
106727	Debian DSA-4109-1：ruby-omniauth - 安全性更新	Nessus	Debian Local Security Checks	2018/2/12	2025/10/29	high
106727	Debian DSA-4109-1：ruby-omniauth - 安全更新	Nessus	Debian Local Security Checks	2018/2/12	2025/10/29	high
106727	DebianDSA-4109-1：ruby-omniauth - セキュリティ更新	Nessus	Debian Local Security Checks	2018/2/12	2025/10/29	high
106727	Debian DSA-4109-1 : ruby-omniauth - security update	Nessus	Debian Local Security Checks	2018/2/12	2025/10/29	high

检测

插件搜索

high

high

high

high

high

high