- Aktif istismar
- CWE-22
CVE-2019-5418
Ruby on Rails Action View'da dosya içeriği ifşası (yol geçişi) zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2772 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Action View'da, <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 ve v3 sürümlerinde dosya içeriği ifşasına yol açan bir zafiyet bulunmaktadır. Özel olarak hazırlanmış accept başlıkları, hedef sistemin dosya sistemindeki rastgele dosyaların içeriğinin açığa çıkmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
There is a File Content Disclosure vulnerability in Action View <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 and v3 where specially crafted accept headers can cause contents of arbitrary files on the target system's filesystem to be exposed.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| https://github.com/rails/rails | 5.2.2.1 | – |
| 5.1.6.2 | – | |
| 5.0.7.2 | – | |
| 4.2.11.1 | – |
Kaynaklar15 kaynak
- CVE.org kaydı
- NVD kaydı
- access.redhat.com/errata/RHSA-2019:0796 Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2019-05/msg00011.html Üretici bülteni
- lists.fedoraproject.org/…t.org/message/Y43636TH4D6T46IC6N2RQVJTRFJAAYGA Üretici bülteni
- access.redhat.com/errata/RHSA-2019:1149 Üretici bülteni
- access.redhat.com/errata/RHSA-2019:1147 Üretici bülteni
- access.redhat.com/errata/RHSA-2019:1289 Üretici bülteni
- exploit-db.com/exploits/46585 İstismar kodu ya da analiz
- packetstormsecurity.com/…s-5.2.1-Arbitrary-File-Content-Disclosure.html Diğer
- openwall.com/lists/oss-security/2019/03/22/1 Diğer
- weblog.rubyonrails.org/…/3/13/Rails-4-2-5-1-5-1-6-2-have-been-released Diğer
- groups.google.com/forum Diğer
- lists.debian.org/debian-lts-announce/2019/03/msg00042.html Diğer
- web.archive.org/…/3/13/Rails-4-2-5-1-5-1-6-2-have-been-released Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.