CVE catalog

CVE-2018-16476

rails: CVE-2018-16476

[CVE catalog]

Severity
Medium · CVSS 6.5CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Published
Source
[NVD] · [CVE record]
EPSS
2.86% · Oct 25, 2026

A Broken Access Control vulnerability in Active Job versions >= 4.2.0 allows an attacker to craft user input which can cause Active Job to deserialize it using GlobalId and give them access to information that they should not have. This vulnerability has been fixed in versions 4.2.11, 5.0.7.1, 5.1.6.1, and 5.2.1.1.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1fixed
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2fixed
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3fixed
Suserubygem-activejob-4_2openstack cloud 74.2.9-3.6.1fixed
Suserubygem-activejob-4_2openstack cloud crowbar 84.2.9-3.6.1fixed
Suserubygem-activejob-4_2enterprise storage 44.2.9-3.6.1fixed
Suserubygem-activejob-5_1linux enterprise high availability extension 155.1.4-3.3.1fixed
Ubunturailspro2:6.0.3.7+dfsg-2vulnerable
Ubunturailspro2:6.1.4.1+dfsg-8ubuntu2vulnerable
Ubunturailspro2:6.1.4.1+dfsg-8ubuntu2+esm1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:5.2.2+dfsg-1not yet assignedNot reported[914847]
Debianrailssourceforky2:5.2.2+dfsg-1not yet assignedNot reported[914847]
Debianrailssourcetrixie2:5.2.2+dfsg-1not yet assignedNot reported[914847]
Debianrailssourcebookworm2:5.2.2+dfsg-1not yet assignedNot reported[914847]
Suserubygem-activejob-4_2rpmopenstack cloud 74.2.9-3.6.1Not reportedSUSE-SU-2019:0152-1Not reported
Suserubygem-activejob-4_2rpmopenstack cloud crowbar 84.2.9-3.6.1Not reportedSUSE-SU-2019:0152-1Not reported
Suserubygem-activejob-4_2rpmenterprise storage 44.2.9-3.6.1Not reportedSUSE-SU-2019:0152-1Not reported
Suserubygem-activejob-5_1rpmlinux enterprise high availability extension 155.1.4-3.3.1Not reportedSUSE-SU-2018:3996-1Not reported

[Debian bug #914847]

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [rails]Unknown
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actioncable]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionmailbox]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionmailer]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionpack]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actiontext]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionview]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activejob]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activemodel]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activerecord]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activestorage]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activesupport]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-rails]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-railties]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

[Debian 13 (Trixie)]

  • [rails]Unknown
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actioncable]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionmailbox]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionmailer]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionpack]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actiontext]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.2+dfsg-1

      dsa · rails · debian · 13

Next results

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]