CVE-2013-5036

Wysokie

Opublikowano: 27/05/2014(UTC)Przetłumaczono: 17/06/2026(UTC)NVD NIST

Streszczenie

Podatność w Square Squash umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez manipulację dokumentem YAML w parametrach namespace lub sourcemap w funkcjach deobfuscation i sourcemap.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do zdalnego uruchamiania kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.

Rekomendacja

Zaleca się aktualizację aplikacji do najnowszej wersji, która naprawia tę podatność oraz przeglądanie i ograniczenie dostępu do funkcji przetwarzających dokumenty YAML.

Inne podatności w Square Squash

CVE-2026-109391Wysokie
Square Squash do commita e73f280 zawiera podatność na niezabezpieczoną deserializację, która pozwala nieuwierzytelnionym atakującym na przechowywanie spreparowanych danych YAML przez endpoint POST /api/1.0/symbolication. Gdy wystąpienia odwołujące się do kontrolowanego przez atakującego UUID symbolizacji są symbolizowane, przechowywane wartości są przekazywane do YAML.load z SafeYAML w trybie niebezpiecznym, umożliwiając deserializację dowolnych obiektów Ruby i potencjalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

The Square Squash allows remote attackers to execute arbitrary code via a YAML document in the (1) namespace parameter to the deobfuscation function or (2) sourcemap parameter to the sourcemap function in app/controllers/api/v1_controller.rb.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS