Vulnerabilities > CVE-2019-5421 - Improper Restriction of Excessive Authentication Attempts vulnerability in Plataformatec Devise

CVSS 9.8 - CRITICAL

Attack vector

NETWORK

Attack complexity

LOW

Privileges required

NONE

Confidentiality impact

HIGH

Integrity impact

HIGH

Availability impact

HIGH

network

low complexity

plataformatec

CWE-307

critical

NVD

Published: 2019-04-03

Updated: 2020-10-16

Summary

Plataformatec Devise version 4.5.0 and earlier, using the lockable module contains a CWE-367 vulnerability in The `Devise::Models::Lockable` class, more specifically at the `#increment_failed_attempts` method. File location: lib/devise/models/lockable.rb that can result in Multiple concurrent requests can prevent an attacker from being blocked on brute force attacks. This attack appear to be exploitable via Network connectivity - brute force attacks. This vulnerability appears to have been fixed in 4.6.0 and later.

Vulnerable Configurations

Part	Description	Count
Application	Plataformatec Plataformatec Devise 0.7.5 Plataformatec Devise 0.8.0 Plataformatec Devise 0.8.1 Plataformatec Devise 0.8.2 Plataformatec Devise 0.9.0 Plataformatec Devise 0.9.1 Plataformatec Devise 0.9.2 Plataformatec Devise 1.0.0 Plataformatec Devise 1.0.1 Plataformatec Devise 1.0.2 Plataformatec Devise 1.0.3 Plataformatec Devise 1.0.4 Plataformatec Devise 1.0.5 Plataformatec Devise 1.0.6 Plataformatec Devise 1.0.7 Plataformatec Devise 1.0.8 Plataformatec Devise 1.0.9 Plataformatec Devise 1.0.11 Plataformatec Devise 1.1 Plataformatec Devise 1.1.0 Plataformatec Devise 1.1.1 Plataformatec Devise 1.1.2 Plataformatec Devise 1.1.3 Plataformatec Devise 1.1.4 Plataformatec Devise 1.1.5 Plataformatec Devise 1.1.6 Plataformatec Devise 1.1.7 Plataformatec Devise 1.1.8 Plataformatec Devise 1.1.9 Plataformatec Devise 1.2 Plataformatec Devise 1.2.1 Plataformatec Devise 1.3.0 Plataformatec Devise 1.3.1 Plataformatec Devise 1.3.2 Plataformatec Devise 1.3.3 Plataformatec Devise 1.3.4 Plataformatec Devise 1.4.0 Plataformatec Devise 1.4.1 Plataformatec Devise 1.4.2 Plataformatec Devise 1.4.3 Plataformatec Devise 1.4.4 Plataformatec Devise 1.4.5 Plataformatec Devise 1.4.6 Plataformatec Devise 1.4.7 Plataformatec Devise 1.4.8 Plataformatec Devise 1.4.9 Plataformatec Devise 1.5.0 Plataformatec Devise 1.5.1 Plataformatec Devise 1.5.2 Plataformatec Devise 1.5.3 Plataformatec Devise 1.5.4 Plataformatec Devise 2.0.0 Plataformatec Devise 2.0.1 Plataformatec Devise 2.0.2 Plataformatec Devise 2.0.3 Plataformatec Devise 2.0.4 Plataformatec Devise 2.0.5 Plataformatec Devise 2.0.6 Plataformatec Devise 2.1.0 Plataformatec Devise 2.1.1 Plataformatec Devise 2.1.2 Plataformatec Devise 2.1.3 Plataformatec Devise 2.1.4 Plataformatec Devise 2.2.0 Plataformatec Devise 2.2.1 Plataformatec Devise 2.2.2 Plataformatec Devise 2.2.3 Plataformatec Devise 2.2.4 Plataformatec Devise 2.2.5 Plataformatec Devise 2.2.6 Plataformatec Devise 2.2.7 Plataformatec Devise 2.2.8 Plataformatec Devise 3.0.0 Plataformatec Devise 3.0.1 Plataformatec Devise 3.0.2 Plataformatec Devise 3.0.3 Plataformatec Devise 3.0.4 Plataformatec Devise 3.1.0 Plataformatec Devise 3.1.1 Plataformatec Devise 3.1.2 Plataformatec Devise 3.2.0 Plataformatec Devise 3.2.1 Plataformatec Devise 3.2.2 Plataformatec Devise 3.2.3 Plataformatec Devise 3.2.4 Plataformatec Devise 3.3.0 Plataformatec Devise 3.4.0 Plataformatec Devise 3.4.1 Plataformatec Devise 3.5.0 Plataformatec Devise 3.5.1 Plataformatec Devise 3.5.2 Plataformatec Devise 3.5.3 Plataformatec Devise 3.5.4 Plataformatec Devise 3.5.5 Plataformatec Devise 3.5.6 Plataformatec Devise 3.5.7 Plataformatec Devise 3.5.8 Plataformatec Devise 3.5.9 Plataformatec Devise 3.5.10 Plataformatec Devise 4.0.0 Plataformatec Devise 4.0.1 Plataformatec Devise 4.0.2 Plataformatec Devise 4.0.3 Plataformatec Devise 4.1.0 Plataformatec Devise 4.1.1 Plataformatec Devise 4.2.0 Plataformatec Devise 4.2.1 Plataformatec Devise 4.3.0 Plataformatec Devise 4.4.0 Plataformatec Devise 4.4.1 Plataformatec Devise 4.4.2 Plataformatec Devise 4.4.3 Plataformatec Devise 4.5.0	132

Common Weakness Enumeration (CWE)

CWE-307 - Improper Restriction of Excessive Authentication Attempts

Summary

Vulnerable Configurations

Common Weakness Enumeration (CWE)

References