Vulnerabilities > CVE-2019-5421 - Improper Restriction of Excessive Authentication Attempts vulnerability in Plataformatec Devise

CVSS 7.5 - HIGH

Attack vector

NETWORK

Attack complexity

LOW

Privileges required

NONE

Confidentiality impact

PARTIAL

Integrity impact

PARTIAL

Availability impact

PARTIAL

network

low complexity

plataformatec

CWE-307

NVD

Published: 2019-04-03

Updated: 2020-10-16

Summary

Plataformatec Devise version 4.5.0 and earlier, using the lockable module contains a CWE-367 vulnerability in The `Devise::Models::Lockable` class, more specifically at the `#increment_failed_attempts` method. File location: lib/devise/models/lockable.rb that can result in Multiple concurrent requests can prevent an attacker from being blocked on brute force attacks. This attack appear to be exploitable via Network connectivity - brute force attacks. This vulnerability appears to have been fixed in 4.6.0 and later.

Vulnerable Configurations

Part	Description	Count
Application	Plataformatec Plataformatec Devise 0.7.5 Plataformatec Devise 0.8.0 Plataformatec Devise 0.8.1 Plataformatec Devise 0.8.2 Plataformatec Devise 0.9.0 Plataformatec Devise 0.9.1 Plataformatec Devise 0.9.2 Plataformatec Devise 1.0.0 Plataformatec Devise 1.0.1 Plataformatec Devise 1.0.2 Plataformatec Devise 1.0.3 Plataformatec Devise 1.0.4 Plataformatec Devise 1.0.5 Plataformatec Devise 1.0.6 Plataformatec Devise 1.0.7 Plataformatec Devise 1.0.8 Plataformatec Devise 1.0.9 Plataformatec Devise 1.0.11 Plataformatec Devise 1.1 Plataformatec Devise 1.1.0 Plataformatec Devise 1.1.1 Plataformatec Devise 1.1.2 Plataformatec Devise 1.1.3 Plataformatec Devise 1.1.4 Plataformatec Devise 1.1.5 Plataformatec Devise 1.1.6 Plataformatec Devise 1.1.7 Plataformatec Devise 1.1.8 Plataformatec Devise 1.1.9 Plataformatec Devise 1.2 Plataformatec Devise 1.2.1 Plataformatec Devise 1.3.0 Plataformatec Devise 1.3.1 Plataformatec Devise 1.3.2 Plataformatec Devise 1.3.3 Plataformatec Devise 1.3.4 Plataformatec Devise 1.4.0 Plataformatec Devise 1.4.1 Plataformatec Devise 1.4.2 Plataformatec Devise 1.4.3 Plataformatec Devise 1.4.4 Plataformatec Devise 1.4.5 Plataformatec Devise 1.4.6 Plataformatec Devise 1.4.7 Plataformatec Devise 1.4.8 Plataformatec Devise 1.4.9 Plataformatec Devise 1.5.0 Plataformatec Devise 1.5.1 Plataformatec Devise 1.5.2 Plataformatec Devise 1.5.3 Plataformatec Devise 1.5.4 Plataformatec Devise 2.0.0 Plataformatec Devise 2.0.1 Plataformatec Devise 2.0.2 Plataformatec Devise 2.0.3 Plataformatec Devise 2.0.4 Plataformatec Devise 2.0.5 Plataformatec Devise 2.0.6 Plataformatec Devise 2.1.0 Plataformatec Devise 2.1.1 Plataformatec Devise 2.1.2 Plataformatec Devise 2.1.3 Plataformatec Devise 2.1.4 Plataformatec Devise 2.2.0 Plataformatec Devise 2.2.1 Plataformatec Devise 2.2.2 Plataformatec Devise 2.2.3 Plataformatec Devise 2.2.4 Plataformatec Devise 2.2.5 Plataformatec Devise 2.2.6 Plataformatec Devise 2.2.7 Plataformatec Devise 2.2.8 Plataformatec Devise 3.0.0 Plataformatec Devise 3.0.1 Plataformatec Devise 3.0.2 Plataformatec Devise 3.0.3 Plataformatec Devise 3.0.4 Plataformatec Devise 3.1.0 Plataformatec Devise 3.1.1 Plataformatec Devise 3.1.2 Plataformatec Devise 3.2.0 Plataformatec Devise 3.2.1 Plataformatec Devise 3.2.2 Plataformatec Devise 3.2.3 Plataformatec Devise 3.2.4 Plataformatec Devise 3.3.0 Plataformatec Devise 3.4.0 Plataformatec Devise 3.4.1 Plataformatec Devise 3.5.0 Plataformatec Devise 3.5.1 Plataformatec Devise 3.5.2 Plataformatec Devise 3.5.3 Plataformatec Devise 3.5.4 Plataformatec Devise 3.5.5 Plataformatec Devise 3.5.6 Plataformatec Devise 3.5.7 Plataformatec Devise 3.5.8 Plataformatec Devise 3.5.9 Plataformatec Devise 3.5.10 Plataformatec Devise 4.0.0 Plataformatec Devise 4.0.1 Plataformatec Devise 4.0.2 Plataformatec Devise 4.0.3 Plataformatec Devise 4.1.0 Plataformatec Devise 4.1.1 Plataformatec Devise 4.2.0 Plataformatec Devise 4.2.1 Plataformatec Devise 4.3.0 Plataformatec Devise 4.4.0 Plataformatec Devise 4.4.1 Plataformatec Devise 4.4.2 Plataformatec Devise 4.4.3 Plataformatec Devise 4.5.0	132

Common Weakness Enumeration (CWE)

CWE-307 - Improper Restriction of Excessive Authentication Attempts

Summary

Vulnerable Configurations

Common Weakness Enumeration (CWE)

References