PT-2026-33982
CVE-2026-41316
·
تاريخ النشر
2026-04-21
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ERB الأقدم من 6.0.1.1
إصدارات ERB الأقدم من 6.0.4
إصدارات ERB الأقدم من 4.0.3.1
إصدارات ERB الأقدم من 4.0.4.1
إصدارات Ruby الأقدم من 4.0.3
الوصف
يوجد ثغرة في آلية الحماية من إزالة التسلسل في ERB تتعلق بالمتغير
init. تحدث هذه المشكلة عندما يستدعي أحد التطبيقات الدالة Marshal.load() على مدخلات غير موثوق بها في الوقت الذي تكون فيه مكتبتا erb و activesupport محملتين. يمكن للمهاجمين التحايل على آلية الحماية عبر def module أو def method أو def class لتحقيق تجاوز إزالة التسلسل.التوصيات
قم بتحديث ERB إلى الإصدار 6.0.1.1 أو 6.0.4 أو 4.0.3.1 أو 4.0.4.1.
قم بتحديث Ruby إلى الإصدار 4.0.3.
كحل مؤقت، تجنب استدعاء الدالة
Marshal.load() على بيانات غير موثوق بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾