CVE catalog

CVE-2020-8165

rails: CVE-2020-8165

[CVE catalog]

Severity
Critical · CVSS 9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Published
Source
[NVD] · [CVE record]
EPSS
45.73% · Oct 25, 2026

A deserialization of untrusted data vulnernerability exists in rails < 5.2.4.3, rails < 6.0.3.1 that can allow an attacker to unmarshal user-provided objects in MemCacheStore and RedisCacheStore potentially resulting in an RCE.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1fixed
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2fixed
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3fixed
Suserubygem-activesupport-5_1linux enterprise high availability extension 155.1.4-3.3.1fixed
Suserubygem-activesupport-5_1linux enterprise high availability extension 15 sp15.1.4-3.3.1fixed
Suserubygem-activesupport-5_1linux enterprise high availability extension 15 sp25.1.4-3.3.1fixed
Opensuserubygem-activesupport-5_1leap 15.25.1.4-lp152.4.3.1fixed
Opensuserubygem-activesupport-5_1leap 15.15.1.4-lp151.3.3.1fixed
Suserubygem-activesupport-4_2openstack cloud 74.2.9-7.9.1fixed
Suserubygem-activesupport-4_2openstack cloud crowbar 84.2.9-7.9.1fixed
Suserubygem-activesupport-4_2openstack cloud crowbar 94.2.9-7.9.1fixed
Ubunturailspro2:5.2.2.1+dfsg-1ubuntu1vulnerable
Ubunturailspro2:5.2.3+dfsg-3vulnerable
Ubunturailspro2:5.2.3+dfsg-3ubuntu0.1~esm1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:5.2.4.3+dfsg-1not yet assignedNot reportedNot reported
Debianrailssourceforky2:5.2.4.3+dfsg-1not yet assignedNot reportedNot reported
Debianrailssourcetrixie2:5.2.4.3+dfsg-1not yet assignedNot reportedNot reported
Debianrailssourcebookworm2:5.2.4.3+dfsg-1not yet assignedNot reportedNot reported
Suserubygem-activesupport-5_1rpmlinux enterprise high availability extension 155.1.4-3.3.1Not reportedSUSE-SU-2020:2899-1Not reported
Suserubygem-activesupport-5_1rpmlinux enterprise high availability extension 15 sp15.1.4-3.3.1Not reportedSUSE-SU-2020:2899-1Not reported
Suserubygem-activesupport-5_1rpmlinux enterprise high availability extension 15 sp25.1.4-3.3.1Not reportedSUSE-SU-2020:2899-1Not reported
Opensuserubygem-activesupport-5_1rpmleap 15.25.1.4-lp152.4.3.1Not reportedOPENSUSE-SU-2020:1679-1Not reported
Opensuserubygem-activesupport-5_1rpmleap 15.15.1.4-lp151.3.3.1Not reportedOPENSUSE-SU-2020:1677-1Not reported
Suserubygem-activesupport-4_2rpmopenstack cloud 74.2.9-7.9.1Not reportedSUSE-SU-2020:2929-1Not reported
Suserubygem-activesupport-4_2rpmopenstack cloud crowbar 84.2.9-7.9.1Not reportedSUSE-SU-2020:2929-1Not reported
Suserubygem-activesupport-4_2rpmopenstack cloud crowbar 94.2.9-7.9.1Not reportedSUSE-SU-2020:2929-1Not reported

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [rails]Unknown
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actioncable]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionmailbox]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionmailer]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionpack]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actiontext]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-actionview]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activejob]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activemodel]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activerecord]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activestorage]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-activesupport]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-rails]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

  • [ruby-railties]Unknown

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · bookworm; dsa · rails · debian · 12

[Debian 13 (Trixie)]

  • [rails]Unknown
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actioncable]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionmailbox]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionmailer]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actionpack]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

  • [ruby-actiontext]Unknown

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:5.2.4.3+dfsg-1

      dsa · rails · debian · 13

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]