CVE-2015-7576 in Ruby on Rails
摘要
由 VulDB • 2026-06-09
Ruby on Rails 3.2.22.1 之前版本、4.0.x 系列以及 4.1.x 中早于 4.1.14.1 的版本、4.2.x 中早于 4.2.5.1 的版本，以及 5.x 中早于 5.0.0.beta1.1 的版本的 Action Controller Basic Authentication（基本身份验证）实现中的 `actionpack/lib/action_controller/metal/http_authentication.rb` 文件内的 `http_basic_authenticate_with` 方法未使用恒定时间算法来验证凭据，这使得远程攻击者能够通过测量时序差异更容易地绕过身份验证。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.