{ "document" : { "aggregate_severity" : { "text" : "mittel" }, "category" : "csaf_base", "csaf_version" : "2.0", "distribution" : { "tlp" : { "label" : "WHITE", "url" : "https://www.first.org/tlp/" } }, "lang" : "de-DE", "notes" : [ { "category" : "legal_disclaimer", "text" : "Das BSI ist als Anbieter für die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch dafür verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgfältig im Einzelfall zu prüfen." }, { "category" : "description", "text" : "Ruby on Rails ist ein in der Programmiersprache Ruby geschriebenes und quelloffenes Web Application Framework.", "title" : "Produktbeschreibung" }, { "category" : "summary", "text" : "Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Ruby on Rails ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen.", "title" : "Angriff" }, { "category" : "general", "text" : "- UNIX\n- Linux\n- Windows\n- Sonstiges", "title" : "Betroffene Betriebssysteme" } ], "publisher" : { "category" : "other", "contact_details" : "csaf-provider@cert-bund.de", "name" : "Bundesamt für Sicherheit in der Informationstechnik", "namespace" : "https://www.bsi.bund.de" }, "references" : [ { "category" : "self", "summary" : "WID-SEC-W-2022-1281 - CSAF Version", "url" : "https://wid.cert-bund.de/.well-known/csaf/white/2022/wid-sec-w-2022-1281.json" }, { "category" : "self", "summary" : "WID-SEC-2022-1281 - Portal Version", "url" : "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2022-1281" }, { "category" : "external", "summary" : "SUSE Security Update SUSE-SU-2023:2059-1 vom 2023-04-27", "url" : "https://lists.suse.com/pipermail/sle-security-updates/2023-April/014619.html" }, { "category" : "external", "summary" : "Ruby Security Advisory vom 2022-04-26", "url" : "https://rubyonrails.org/2022/4/26/Rails-7-0-2-4-6-1-5-1-6-0-4-8-and-5-2-7-1-have-been-released" }, { "category" : "external", "summary" : "Debian Security Advisory DLA-3093 vom 2022-09-03", "url" : "https://lists.debian.org/debian-lts-announce/2022/09/msg00002.html" }, { "category" : "external", "summary" : "HCL Article KB0100982 vom 2022-10-12", "url" : "https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0100982" }, { "category" : "external", "summary" : "SUSE Security Update SUSE-SU-2022:3621-1 vom 2022-10-18", "url" : "https://lists.suse.com/pipermail/sle-security-updates/2022-October/012561.html" }, { "category" : "external", "summary" : "SUSE Security Update SUSE-SU-2022:3860-1 vom 2022-11-03", "url" : "https://lists.suse.com/pipermail/sle-security-updates/2022-November/012803.html" } ], "source_lang" : "en-US", "title" : "Ruby on Rails: Mehrere Schwachstellen ermöglichen Cross-Site Scripting", "tracking" : { "current_release_date" : "2023-04-27T22:00:00.000+00:00", "generator" : { "date" : "2024-08-15T17:34:30.536+00:00", "engine" : { "name" : "BSI-WID", "version" : "1.3.5" } }, "id" : "WID-SEC-W-2022-1281", "initial_release_date" : "2022-04-26T22:00:00.000+00:00", "revision_history" : [ { "date" : "2022-04-26T22:00:00.000+00:00", "number" : "1", "summary" : "Initiale Fassung" }, { "date" : "2022-05-01T22:00:00.000+00:00", "number" : "2", "summary" : "Referenz(en) aufgenommen: 2080296, 2080302" }, { "date" : "2022-09-04T22:00:00.000+00:00", "number" : "3", "summary" : "Neue Updates von Debian aufgenommen" }, { "date" : "2022-10-12T22:00:00.000+00:00", "number" : "4", "summary" : "Neue Updates von HCL aufgenommen" }, { "date" : "2022-10-18T22:00:00.000+00:00", "number" : "5", "summary" : "Neue Updates von SUSE aufgenommen" }, { "date" : "2022-11-03T23:00:00.000+00:00", "number" : "6", "summary" : "Neue Updates von SUSE aufgenommen" }, { "date" : "2023-04-27T22:00:00.000+00:00", "number" : "7", "summary" : "Neue Updates von SUSE aufgenommen" } ], "status" : "final", "version" : "7" } }, "product_tree" : { "branches" : [ { "branches" : [ { "category" : "product_name", "name" : "Debian Linux", "product" : { "name" : "Debian Linux", "product_id" : "2951", "product_identification_helper" : { "cpe" : "cpe:/o:debian:debian_linux:-" } } } ], "category" : "vendor", "name" : "Debian" }, { "branches" : [ { "category" : "product_name", "name" : "HCL BigFix < 10.0.10.0", "product" : { "name" : "HCL BigFix < 10.0.10.0", "product_id" : "T024886", "product_identification_helper" : { "cpe" : "cpe:/a:hcltech:bigfix:10.0.10.0" } } } ], "category" : "vendor", "name" : "HCL" }, { "branches" : [ { "branches" : [ { "category" : "product_name", "name" : "Open Source Ruby on Rails < 7.0.2.4", "product" : { "name" : "Open Source Ruby on Rails < 7.0.2.4", "product_id" : "T022972", "product_identification_helper" : { "cpe" : "cpe:/a:rubyonrails:ruby_on_rails:7.0.2.4" } } }, { "category" : "product_name", "name" : "Open Source Ruby on Rails < 6.1.5.1", "product" : { "name" : "Open Source Ruby on Rails < 6.1.5.1", "product_id" : "T022973", "product_identification_helper" : { "cpe" : "cpe:/a:rubyonrails:ruby_on_rails:6.1.5.1" } } }, { "category" : "product_name", "name" : "Open Source Ruby on Rails < 6.0.4.8", "product" : { "name" : "Open Source Ruby on Rails < 6.0.4.8", "product_id" : "T022974", "product_identification_helper" : { "cpe" : "cpe:/a:rubyonrails:ruby_on_rails:6.0.4.8" } } }, { "category" : "product_name", "name" : "Open Source Ruby on Rails < 5.2.7.1", "product" : { "name" : "Open Source Ruby on Rails < 5.2.7.1", "product_id" : "T022975", "product_identification_helper" : { "cpe" : "cpe:/a:rubyonrails:ruby_on_rails:5.2.7.1" } } } ], "category" : "product_name", "name" : "Ruby on Rails" } ], "category" : "vendor", "name" : "Open Source" }, { "branches" : [ { "category" : "product_name", "name" : "SUSE Linux", "product" : { "name" : "SUSE Linux", "product_id" : "T002207", "product_identification_helper" : { "cpe" : "cpe:/o:suse:suse_linux:-" } } } ], "category" : "vendor", "name" : "SUSE" } ] }, "vulnerabilities" : [ { "cve" : "CVE-2022-22577", "notes" : [ { "category" : "description", "text" : "In Ruby on Rails existieren mehrere Cross-Site Scripting Schwachstellen. HTML und Script-Eingaben werden in Action Pack und Action View nicht ordnungsgemäß überprüft, bevor sie an den Benutzer zurückgegeben werden. Ein entfernter, anonymer Angreifer kann durch Ausnutzung dieser Schwachstellen beliebigen HTML- und Script-Code durch den Browser des Benutzers im Kontext der betroffenen Seite ausführen. Zur erfolgreichen Ausnutzung ist eine Benutzeraktion erforderlich." } ], "product_status" : { "known_affected" : [ "2951", "T002207", "T024886" ] }, "release_date" : "2022-04-26T22:00:00.000+00:00", "title" : "CVE-2022-22577" }, { "cve" : "CVE-2022-27777", "notes" : [ { "category" : "description", "text" : "In Ruby on Rails existieren mehrere Cross-Site Scripting Schwachstellen. HTML und Script-Eingaben werden in Action Pack und Action View nicht ordnungsgemäß überprüft, bevor sie an den Benutzer zurückgegeben werden. Ein entfernter, anonymer Angreifer kann durch Ausnutzung dieser Schwachstellen beliebigen HTML- und Script-Code durch den Browser des Benutzers im Kontext der betroffenen Seite ausführen. Zur erfolgreichen Ausnutzung ist eine Benutzeraktion erforderlich." } ], "product_status" : { "known_affected" : [ "2951", "T002207", "T024886" ] }, "release_date" : "2022-04-26T22:00:00.000+00:00", "title" : "CVE-2022-27777" } ] }