漏洞信息详情
Ruby on Rails 跨站脚本漏洞
- CNNVD编号:CNNVD-201208-136
- 危害等级: 中危
- CVE编号: CVE-2012-3464
- 漏洞类型: 跨站脚本
- 发布时间: 2012-08-13
- 威胁类型: 远程
- 更新时间: 2019-08-09
- 厂 商: rubyonrails
- 漏洞来源:
漏洞简介
Ruby on Rails(Rails)是Rails核心团队开发维护的一套基于Ruby语言的开源Web应用框架,它是由大卫-海纳梅尔-韩森从美国37signals公司的项目管理工具Basecamp里分离出来的。
Ruby on Rails 3.0.17之前版本、3.1.8之前的3.1.x版本和3.2.8之前的3.2.x版本中的activesupport/lib/active_support/core_ext/string/output_safety.rb中存在跨站脚本(XSS)漏洞。远程攻击者可利用该漏洞通过包含’(引号)字符的向量注入任意web脚本或HTML。
漏洞公告
目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://www.rubyonrails.com/
参考网址
来源:REDHAT
链接:http://rhn.redhat.com/errata/RHSA-2013-0154.HTML
来源:SECUNIA
链接:http://secunia.com/advisories/50694
来源:CONFIRM
链接:http://weblog.rubyonrails.org/2012/8/9/ann-rails-3-2-8-has-been-released/
来源:MLIST
链接:https://groups.Google.com/group/rubyonrails-security/msg/8f1bbe1cef8c6caf?dmode=source&output=gplain
受影响实体
- Rubyonrails Ruby_on_rails:3.2.7
- Rubyonrails Ruby_on_rails:3.2.5
- Rubyonrails Ruby_on_rails:3.2.6
- Rubyonrails Ruby_on_rails:3.2.2
- Rubyonrails Ruby_on_rails:3.2.1
补丁
- rails-rails-v3.0.17-0-g77977f3
- rails-rails-v3.2.8-0-g64146cf
- rails-rails-v3.1.8-0-g38bf9cf
评论