CVSS: 5.0EPSS: 1%CPEs: 1EXPL: 0CVE-2007-5379
https://notcve.org/view.php?id=CVE-2007-5379
Rails before 1.2.4, as used for Ruby on Rails, allows remote attackers and ActiveResource servers to determine the existence of arbitrary files and read arbitrary XML files via the Hash.from_xml (Hash#from_xml) method, which uses XmlSimple (XML::Simple) unsafely, as demonstrated by reading passwords from the Pidgin (Gaim) .purple/accounts.xml file. El Rails anterior al 1.2.4, como el utilizado en el "Ruby on Rails", permite a atacantes remotos y a los servidores ActiveResource determinar la existencia de ficheros de su elección y leer ficheros XML de su elección a través del método Hash.from_xml (Hash#from_xml), el cual utiliza XmlSimple (XML::Simple) en modo no seguro, como lo demostrado leyendo las contraseñas del fichero Pidgin (Gaim) .purple/accounts.xml. • http://bugs.gentoo.org/show_bug.cgi?id=195315 http://dev.rubyonrails.org/ticket/8453 http://docs.info.apple.com/article.html?artnum=307179 http://lists.apple.com/archives/security-announce/2007/Dec/msg00002.html http://osvdb.org/40717 http://secunia.com/advisories/27657 http://secunia.com/advisories/28136 http://security.gentoo.org/glsa/glsa-200711-17.xml http://weblog.rubyonrails.org/2007/10/5/rails-1-2-4-maintenance-release http://www.securityfocus.com/bid/26096 h • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 6.8EPSS: 3%CPEs: 1EXPL: 0CVE-2007-5380
https://notcve.org/view.php?id=CVE-2007-5380
Session fixation vulnerability in Rails before 1.2.4, as used for Ruby on Rails, allows remote attackers to hijack web sessions via unspecified vectors related to "URL-based sessions." Vulnerabilidad de fijación de sesión en el Rails anterior al 1.2.4, como el utilizado en el "Ruby on Rails", permite a atacantes remotos secuestrar la sesión web a través de vectores sin especificar relacionados con las "sesiones basadas en URL". • http://bugs.gentoo.org/show_bug.cgi?id=195315 http://docs.info.apple.com/article.html?artnum=307179 http://lists.apple.com/archives/security-announce/2007/Dec/msg00002.html http://secunia.com/advisories/27657 http://secunia.com/advisories/27965 http://secunia.com/advisories/28136 http://security.gentoo.org/glsa/glsa-200711-17.xml http://weblog.rubyonrails.org/2007/10/5/rails-1-2-4-maintenance-release http://www.novell.com/linux/security/advisories/2007_25_sr.html http:&# •