CVE-2012-2695 是 Ruby on Rails ActiveRecord 组件中的 SQL 注入漏洞。该漏洞允许远程攻击者通过利用嵌套查询参数的不当处理来执行 SQL 注入攻击，可能导致敏感数据泄露或系统被篡改。受影响的版本包括 Rails 2.3.15 之前的版本、3.0.x 版本低于 3.0.14、3.1.x 版本低于 3.1.6 以及 3.2.x 版本低于 3.2.6。建议升级至 3.0.14 版本以修复此漏洞。
攻击者可以利用此 SQL 注入漏洞绕过应用程序的安全措施，直接访问和修改数据库中的数据。这可能导致敏感信息泄露，例如用户凭据、财务数据或商业机密。更严重的后果包括攻击者能够执行任意 SQL 命令，从而完全控制数据库服务器，甚至可能导致系统崩溃或数据丢失。由于 ActiveRecord 是 Ruby on Rails 框架的核心组件，因此该漏洞影响范围广泛，可能影响依赖于 Rails 的各种 Web 应用程序。该漏洞与 CVE-2012-2661 相关，表明攻击者可能利用类似的攻击模式。
该漏洞已公开披露，并且可能存在公开的利用代码。目前尚无关于该漏洞被大规模利用的公开报告，但由于其严重性和易利用性，建议尽快采取缓解措施。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的安全风险。请密切关注安全社区的最新动态，以获取有关此漏洞的更多信息。
漏洞利用状态
EPSS
0.64% (70% 百分位)
最有效的缓解措施是立即将 Ruby on Rails 升级至 3.0.14 或更高版本。如果由于兼容性问题无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 来过滤恶意 SQL 查询。此外，可以审查应用程序代码，确保所有用户输入都经过适当的验证和清理，以防止 SQL 注入攻击。在升级后，请验证 ActiveRecord 组件是否已成功更新，并进行安全测试以确认漏洞已得到修复。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2012-2695 是 Ruby on Rails ActiveRecord 组件中的 SQL 注入漏洞，允许攻击者通过嵌套查询参数执行恶意 SQL 命令。
如果您的 Ruby on Rails 版本低于 3.0.14，则可能受到影响。请立即检查您的版本并升级。
将 Ruby on Rails 升级至 3.0.14 或更高版本。如果无法升级，请使用 WAF 并审查应用程序代码。
虽然目前没有大规模利用的公开报告，但由于其严重性和易利用性，建议尽快采取缓解措施。
请访问 Ruby on Rails 官方安全公告页面，搜索 CVE-2012-2695 以获取更多信息。
上传你的 Gemfile.lock 文件，立即知道是否受影响。