CVE-2022-46163 in travel-support-program
الملخص
بحسب VulDB • 05/06/2026
برنامج دعم السفر هو تطبيق مبني على إطار عمل Rails لدعم برنامج دعم السفر الخاص بـ openSUSE (TSP). يمكن استخراج بيانات المستخدم الحساسة (تفاصيل الحساب البنكي، وتجزئة كلمة المرور) عبر حقن استعلامات Ransack. تتأثر كل عمليات نشر برنامج دعم السفر التي تسبق الإصدار المصحح. يستخدم برنامج دعم السفر مكتبة Ransack لتنفيذ وظائف البحث. في تكوينها الافتراضي، تسمح Ransack بشروط استعلام مبنية على خصائص كائنات قاعدة البيانات المرتبطة [1]. يمكن بعد ذلك استغلال مطابقات البحث `*_start`، `*_end` أو `*_cont` [2] لاستخراج القيم السلسلة الحساسة لكائنات قاعدة البيانات المرتبطة عبر هجوم القوة الغاشمة حرفاً بحرف (يتم الإشارة إلى المطابقة من خلال عدم كون JSON المُرجع فارغاً). يمكن استخراج رقم حساب بنكي واحد بأقل من 200 طلب، ويمكن استخراج تجزئة كلمة المرور بحوالي 1200 طلب، وكل ذلك خلال بضع دقائق. تم إصلاح المشكلة في الالتزام d22916275c51500b4004933ff1b0a69bc807b2b7. للعمل على تجاوز هذه المشكلة، يمكنك أيضاً اختيار هذا التصحيح (cherry-pick)، إلا أنه لن يعمل بدون ترقية Rails 5.0 التي أُجريت في #150، والتي كانت بدورها تعتمد على عدد غير قليل من طلبات السحب (pull requests).
If you want to get best quality of vulnerability data, you may have to visit VulDB.