Ruby on Rails JSON 解析器YAML处理安全漏洞 CVE-2013-0333 CNNVD-201301-568
7.5
AV
AC
AU
C
I
A
发布：
2013-01-30
修订：
2023-02-13
Ruby on Rails（Rails）是Rails核心团队开发维护的一套基于Ruby语言的开源Web应用框架，它是由大卫-海纳梅尔-韩森从美国37signals公司的项目管理工具Basecamp里分离出来的。 Ruby on Rails 2.3.16之前的2.3.x版本和3.0.20之前的3.0.x版本中的lib/active_support/json/backends/yaml.rb中存在漏洞，该漏洞源于没有正确使用YAML解析器将JSON数据转换为YAML数据。通过触发不安全解码的特制数据，远程攻击者利用该漏洞执行任意代码，进行SQL注入攻击或绕过身份验证。
漏洞利用/PoC
当前有7条漏洞利用/PoC
受影响的平台与产品
当前有57条受影响产品信息
