Podatności Bundler
3 znanych podatności CVE w Bundler, przetłumaczonych i ocenionych.
- CVE-2020-36327Wysokie
Bundler w wersjach 1.16.0 do 2.2.9 oraz 2.2.11 do 2.2.16 czasami wybiera źródło zależności na podstawie najwyższego numeru wersji gem, co oznacza, że złośliwy gem z publicznego źródła może zostać wybrany zamiast zamierzonego prywatnego gemu.
- CVE-2016-7954Krytyczne
Bundler w wersji 1.x może umożliwić zdalnym atakującym wstrzyknięcie dowolnego kodu Ruby do aplikacji poprzez wykorzystanie kolizji nazw gemów w źródle wtórnym.
- CVE-2021-43809Średnie
Podatność w Bundlerze (wersje przed 2.2.33) polega na możliwości wykonania dowolnego kodu podczas przetwarzania niezaufanego pliku Gemfile. Jeśli Gemfile zawiera zależność z opcją git, której URL zaczyna się od myślnika (np. '-u./payload'), Bundler może zinterpretować go jako opcję git clone, co prowadzi do wykonania kodu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS