CVE-2015-3900 in RubyGems

الملخص

بحسب VulDB • 23/05/2026

لا تقوم RubyGems 2.0.x قبل الإصدار 2.0.16، و2.2.x قبل الإصدار 2.2.4، و2.4.x قبل الإصدار 2.4.7 بالتحقق من اسم المضيف (hostname) عند جلب الحزم (gems) أو إجراء طلبات API، مما يسمح لمهاجمين عن بعد بإعادة توجيه الطلبات إلى نطاقات عشوائية عبر سجل DNS SRV مُعدّ بشكل متعمد، ويُعرف ذلك بـ "هجوم اختطاف DNS" (DNS hijack attack).

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• حجز: 12/05/2015
• إفشاء: 24/06/2015
• الاعتدال: تمت الموافقة
• إدخال: VDB-76069
• CPE: جاهز
• CWE: CWE-254 (مؤكد)
• CVSS: 5.0 (NVD)
• EPSS: 0.08934
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Insurance, Finance, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2015-3900
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2015-3900
• CVE Details: https://www.cvedetails.com/cve/CVE-2015-3900/