| CNNVD-ID编号 | CNNVD-202102-590 | CVE编号 | CVE-2021-21305 |
| 发布时间 | 2021-02-08 | 更新时间 | 2021-02-18 |
| 漏洞类型 | 注入 | 漏洞来源 | N/A |
| 危险等级 | 高危 | 威胁类型 | 远程 |
| 厂商 | N/A | ||
Mshibuya CarrierWave是美国Mshibuya个人组织的一个上传工具。提供了一种简单且极为灵活的方式来从Ruby应用程序上传文件。
CarrierWave 1.3.2和2.1.1之前版本存在注入漏洞，该漏洞源于＃manipulate!方法不恰当地求值了突变选项(：read/：write)的内容，从而允许攻击者创建一个可以作为Ruby代码执行的字符串。如果应用程序开发人员向该选项提供不受信任的输入，则会导致远程代码执行。
目前厂商已发布升级了CarrierWave 注入漏洞的补丁，CarrierWave 注入漏洞的补丁获取链接：
https://github.com/carrierwaveuploader/carrierwave/commit/387116f5c72efa42bc3938d946b4c8d2f22181b7
来源:MISC
链接：https://github.com/carrierwaveuploader/carrierwave/blob/master/CHANGELOG.md#211---2021-02-08
来源:MISC
来源:MISC
链接：https://github.com/carrierwaveuploader/carrierwave/commit/387116f5c72efa42bc3938d946b4c8d2f22181b7
来源:CONFIRM
链接：https://github.com/carrierwaveuploader/carrierwave/security/advisories/GHSA-cf3w-g86h-35x4
来源:MISC
链接：https://github.com/carrierwaveuploader/carrierwave/blob/master/CHANGELOG.md#132---2021-02-08
暂无
计算
安全
数据库
网络和加速
企业服务
