CVE-2022-46163 in travel-support-program
要約
〜によって VulDB • 2026年05月11日
Travel support programは、openSUSEの旅行支援プログラム（TSP）をサポートするためのRailsアプリケーションです。Ransackクエリインジェクションを通じて、機密ユーザーデータ（銀行口座の詳細、パスワードハッシュ）が抽出される可能性があります。パッチ適用バージョン未満のtravel-support-programのすべてのデプロイメントが影響を受けます。travel-support-programは、検索機能を実装するためにRansackライブラリを使用しています。デフォルト設定では、Ransackは関連するデータベースオブジェクトのプロパティに基づくクエリ条件を許可します[1]。`*_start`、`*_end`、または`*_cont`の検索マッチャー[2]を悪用し、文字ごとのブルートフォース攻撃によって関連するデータベースオブジェクトの機密文字列値を外部に漏洩させることができます（返されるJSONが空でないことがマッチの指標となります）。単一の銀行口座番号は200回未満のリクエストで抽出可能であり、パスワードハッシュは約1200回のリクエストで抽出可能で、これらはすべて数分で完了します。この問題はコミットd22916275c51500b4004933ff1b0a69bc807b2b7で修正されています。この問題を回避するために、このパッチをcherry pickすることもできますが、#150で行われたRails 5.0マイグレーションなしでは機能しません。#150には、さらに多くの依存関係を持つプルリクエストが含まれていました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.