Ruby nori Gem ‘XML’参数远程命令执行漏洞 CVE-2013-0285 CNNVD-201302-373
7.5
AV
AC
AU
C
I
A
发布：
2013-04-09
修订：
2013-04-16
nori gem for Ruby是一款Ruby应用 Ruby的nori gem 2.0.2之前的2.0.x版本，1.1.4之前的1.1.x版本，1.0.3之前的1.0.x版本中存在漏洞，该漏洞源于程序没有正确限制字符串值的类型转换。通过利用Action Pack支持(1)YAML或(2)Symbol类型转换，远程攻击者可利用该漏洞实施对象注入攻击并执行任意代码，或导致拒绝服务（内存和CUP耗尽）涉及嵌套的XML实体引用。
漏洞利用/PoC
暂无可用Exp或PoC
受影响的平台与产品
当前有9条受影响产品信息
