PT-2020-14844 · Ruby · Field Test

Ankane · Publicado 2020-08-05 · Atualizado 2020-08-05 · CVE-2020-16252

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 0.2.0 a 0.3.2 da gem Field Test

Descrição

O painel do Field Test está vulnerável a falsificação de solicitação entre sites (CSRF) com métodos de autenticação não baseados em sessão. Essa vulnerabilidade permite que um invasor realize solicitações em nome de um usuário autorizado, levando-o a visitar um site malicioso. Um único endpoint é afetado, o que permite alterar a variante atribuída a um usuário. Métodos de autenticação baseados em sessão não são afetados.

Recomendações

Para as versões 0.2.0 a 0.3.2, atualize imediatamente para uma versão mais recente que inclua a correção, que altera o método protect from forgery para protect from forgery with: :exception para prevenir ataques CSRF. Como solução alternativa temporária, considere restringir o acesso ao endpoint afetado para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-16252

GHSA-W542-CPP9-R3G7

Produtos afetados

Field Test

Referências · 7

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/field_test/CVE-2020-16252.yml · Exploit
• https://github.com/ankane/field_test/issues/28 · Nota
• https://github.com/ankane/field_test · Nota
• https://github.com/ankane/field_test/commit/defd3fdf457c22d7dc5b3be7048481947bd5f0d0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-16252 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-16252 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w542-cpp9-r3g7 · Aviso do Fabricante