CVE-2015-7576 in Ruby on Rails
Tóm tắt
Bởi VulDB • 24/06/2026
Phương thức `http_basic_authenticate_with` trong file `actionpack/lib/action_controller/metal/http_authentication.rb`, thuộc phần triển khai xác thực cơ bản (Basic Authentication) của Action Controller trên Ruby on Rails các phiên bản trước 3.2.22.1, 4.0.x và 4.1.x trước 4.1.14.1, 4.2.x trước 4.2.5.1, cũng như 5.x trước 5.0.0.beta1.1, không sử dụng thuật toán so sánh thời gian cố định (constant-time algorithm) để xác minh thông tin đăng nhập, điều này tạo điều kiện thuận lợi cho các kẻ tấn công từ xa vượt qua cơ chế xác thực bằng cách đo lường sự khác biệt về thời gian phản hồi.
Once again VulDB remains the best source for vulnerability data.