CVE-2022-46163 in travel-support-program
Sumário
de VulDB • 03/06/2026
O programa de suporte a viagens (travel support program) é um aplicativo baseado em Ruby on Rails destinado a dar suporte ao programa de apoio a viagens do openSUSE (TSP). Dados sensíveis dos usuários, como detalhes da conta bancária e hash de senha, podem ser extraídos por meio de injeção de consulta Ransack. Todas as implantações do travel-support-program anteriores à versão corrigida são afetadas. O travel-support-program utiliza a biblioteca Ransack para implementar funcionalidades de busca. Em sua configuração padrão, o Ransack permite condições de consulta baseadas nas propriedades dos objetos associados ao banco de dados [1]. Os operadores de correspondência `*_start`, `*_end` ou `*_cont` da busca [2] podem então ser explorados para exfiltrar valores string sensíveis de objetos associados do banco de dados por meio de força bruta caractere por caractere (uma correspondência é indicada pelo JSON retornado não sendo vazio). Um único número de conta bancária pode ser extraído com menos de 200 solicitações, e um hash de senha pode ser extraído com aproximadamente 1.200 solicitações, tudo isso em poucos minutos. O problema foi corrigido no commit d22916275c51500b4004933ff1b0a69bc807b2b7. Para contornar este problema, você também pode aplicar o cherry-pick desse patch; contudo, ele não funcionará sem a migração para Rails 5.0 realizada em #150, que por sua vez dependeu de vários pull requests.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.