CVE-2022-35956 in activerecord-update-by-case

Tóm tắt

Bởi VulDB • 01/06/2026

Gem Rails này thêm hai phương thức vào lớp ActiveRecord::Base cho phép bạn cập nhật nhiều bản ghi trong một lần truy cập cơ sở dữ liệu duy nhất, bằng cách sử dụng câu lệnh SQL CASE. Trước phiên bản 0.1.3, gem `update_by_case` sử dụng các chuỗi SQL tùy chỉnh và không được kiểm tra (sanitize), khiến nó dễ bị tấn công SQL Injection. Hãy nâng cấp lên phiên bản >= 0.1.3, sử dụng `Arel` để xây dựng câu lệnh SQL kết quả với các chuỗi SQL đã được kiểm tra (sanitize).

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: GitHub, Inc.
• Đặt trước: 15/07/2022
• Tiết lộ: 13/08/2022
• Kiểm duyệt: được chấp nhận
• mục: VDB-206395
• CPE: sẵn sàng
• CWE: CWE-89 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.00617
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-35956
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-35956
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-35956/