CVE-2019-5420

CVE-2019-5420 此漏洞可允许攻击者猜测自动生成的开发模式秘密令牌。 当 Ruby-on-Rails 运行在开发模式时。在开发模式下，攻击者有可能猜测用于保护会话的密钥。 解密： 密钥生成： Rails 使用三个环境（development,test,production），当应用使用开发模式时，你能够猜测秘密令牌并解密加密的会话。 用于保护会话的密钥是从应用名称派生出来的。 示例： root@kitploit: rails new Jakom Jakom：应用名称。 因此，我们可以猜测密钥是生成方法的输出： root@kitploit: PKDF2HMACSHA1 MD5...