CVE-2011-0446

描述

Multiple cross-site scripting (XSS) vulnerabilities in the mail_to helper in Ruby on Rails before 2.3.11, and 3.x before 3.0.4, when javascript encoding is used, allow remote attackers to inject arbitrary web script or HTML via a crafted (1) name or (2) email value.

如何修補 CVE-2011-0446

要修補 CVE-2011-0446,請將受影響套件升級到下列已修補版本。

• Debian/rails—升級至 2.3.11-0.1 或更新版本
• Debian/rails—升級至 2.3.5-1.2+squeeze0.1 或更新版本
• RubyGems/actionpack—升級至 2.3.11 或更新版本
• —升級至 2.3.11 或更新版本

CVE-2011-0446 正在被利用嗎?

低 — EPSS 為 2.4%,目前沒有觀察到大規模利用活動。

受影響套件(4)

• from 0, < 2.3.11-0.1
• from 0, < 2.3.5-1.2+squeeze0.1
• from 0, < 2.3.11
• from 0, < 2.3.11

參考連結(17)

• ADVISORYnvd.nist.gov/vuln/detail/CVE-2011-0446
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2011-0446
• PATCHgithub.com/rails/rails
• WEBgroups.google.com/group/rubyonrails-security/msg/365b8a23b76a6b4a?dmode=source&output=gplain