Multiples vulnérabilités dans Ruby on Rails

Gestion du document

Référence	CERTFR-2022-AVI-389
Titre	Multiples vulnérabilités dans Ruby on Rails
Date de la première version	27 avril 2022
Date de la dernière version	27 avril 2022
Source(s)	Bulletin de sécurité Ruby on Rails CVE-2022-22577 du 26 avril 2022 Bulletin de sécurité Ruby on Rails CVE-2022-27777 du 26 avril 2022
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Risque(s)

Injection de code indirecte à distance (XSS)

Systèmes affectés

Ruby on Rails versions antérieures à 5.2.7.1
Ruby on Rails versions 6.0.x antérieures à 6.0.4.8
Ruby on Rails versions 6.1.x antérieures à 6.1.5.1
Ruby on Rails versions 7.0.x antérieures à 7.0.2.4

Résumé

De multiples vulnérabilités ont été découvertes dans Ruby on Rails. Elles permettent à un attaquant de provoquer une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Ruby on Rails CVE-2022-22577 du 26 avril 2022
https://groups.google.com/g/rubyonrails-security/c/RmWxKvSNgRg
Bulletin de sécurité Ruby on Rails CVE-2022-27777 du 26 avril 2022
https://groups.google.com/g/rubyonrails-security/c/Yg2tEh2UUqc
Référence CVE CVE-2022-22577
https://www.cve.org/CVERecord?id=CVE-2022-22577
Référence CVE CVE-2022-27777
https://www.cve.org/CVERecord?id=CVE-2022-27777

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Ruby on Rails