CVE-2022-46163 in travel-support-program
Resumen
por VulDB • 2026-06-03
El programa de soporte para viajes (travel support program) es una aplicación basada en Ruby on Rails diseñada para apoyar el programa de asistencia para viajes de openSUSE (TSP). Los datos sensibles del usuario, como los detalles de la cuenta bancaria y el hash de la contraseña, pueden extraerse mediante inyección de consultas Ransack. Todas las implementaciones del travel-support-program anteriores a la versión parcheada se ven afectadas. El programa utiliza la biblioteca Ransack para implementar la funcionalidad de búsqueda. En su configuración predeterminada, Ransack permite condiciones de consulta basadas en propiedades de objetos de base de datos asociados [1]. Los operadores de coincidencia `*_start`, `*_end` o `*_cont` [2] pueden aprovecharse entonces para exfiltrar valores de cadena sensibles de los objetos de la base de datos asociados mediante fuerza bruta carácter por carácter (una coincidencia se indica porque el JSON devuelto no está vacío). Se puede extraer un único número de cuenta bancaria con menos de 200 solicitudes, y un hash de contraseña con aproximadamente 1200 solicitudes, todo ello en cuestión de minutos. El problema ha sido corregido en el commit d22916275c51500b4004933ff1b0a69bc807b2b7. Para solucionar este problema, también puede aplicar cherry-pick a dicho parche; sin embargo, no funcionará correctamente sin la migración de Rails 5.0 realizada en #150, que a su vez dependía de varios pull requests.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.