CVE-2011-2197: The cross-site scripting (XSS) prevention feature in Ruby on Rails 2.x before 2.3.12, 3.0.x before 3.0.8, and 3.1.x before 3.1.0.rc2 does…
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 18/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 1,9% (FIRST EPSS); выше, чем у 80,6% записей.
- Исправленная версия: actionpack (RubyGems) 2.3.12, 3.0.8; activesupport (RubyGems) 2.3.12, 3.0.8.
Пока низкий приоритет. Обновитесь до actionpack (RubyGems) 2.3.12, 3.0.8; activesupport (RubyGems) 2.3.12, 3.0.8 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
The cross-site scripting (XSS) prevention feature in Ruby on Rails 2.x before 2.3.12, 3.0.x before 3.0.8, and 3.1.x before 3.1.0.rc2 does not properly handle mutation of safe buffers, which makes it easier for remote attackers to conduct XSS attacks via crafted strings to an application that uses a problematic string method, as demonstrated by the sub method.
- Опубликовано
- 30 июн. 2011 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 1,9 % · 80-й процентиль
- CWE
- CWE-79
Инструменты для отчёта
Оценка срочности
18
Пока низкий приоритет.
- CVSS
- 17 / 40 · 4.3 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 1 / 30 · 1,9 %
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
Ограничьте последствия XSSПроверить заголовки
Затронута ли ваша версия? ПроверьтеАнализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| rubyonrails | rails | cpe:2.3:a:rubyonrails:rails |
| rubyonrails | ruby on rails | cpe:2.3:a:rubyonrails:ruby_on_rails |
Ограничьте последствия XSS
Это уязвимость межсайтового скриптинга (XSS). Хорошо настроенная Content-Security-Policy её не устраняет, но сильно снижает последствия. Бесплатно проверьте CSP и другие заголовки безопасности сайта.
Проверить заголовкиЗатронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- rubyonrails rails2.0.0
- rubyonrails rails2.0.1
- rubyonrails rails2.0.2
- rubyonrails rails2.0.4
- rubyonrails rails2.1.0
- rubyonrails rails2.1.1
- rubyonrails rails2.1.2
- rubyonrails rails2.2.0
ещё строк: 12
- rubyonrails rails2.2.1
- rubyonrails rails2.2.2
- rubyonrails rails2.3.10
- rubyonrails rails2.3.11
- rubyonrails rails2.3.2
- rubyonrails rails2.3.3
- rubyonrails rails2.3.4
- rubyonrails rails2.3.9
- rubyonrails rails3.0.0
- rubyonrails rails3.0.1
- rubyonrails rails3.0.2
- rubyonrails rails3.0.3
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| RubyGems | actionpack | с 2.0.0 · до 2.3.12 | 2.3.12 |
| RubyGems | actionpack | с 3.0.0 · до 3.0.8 | 3.0.8 |
| RubyGems | activesupport | с 2.0.0 · до 2.3.12 | 2.3.12 |
| RubyGems | activesupport | с 3.0.0 · до 3.0.8 | 3.0.8 |
Тот же продукт
rubyonrails: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2019-5418There is a File Content Disclosure vulnerability in Action View <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 and v3 where specially crafted…KEV90Срочно
- CVE-2016-0752Directory traversal vulnerability in Action View in Ruby on Rails before 3.2.22.1, 4.0.x and 4.1.x before 4.1.14.1, 4.2.x before 4.2.5.1…KEV89Срочно
- CVE-2019-5420A remote code execution vulnerability in development mode Rails <5.2.2.1, <6.0.0.beta3 can allow an attacker to guess the automatically…66На этой неделе
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2011-044821 февр. 2011 г. · Ruby on Rails 3.0.x before 3.0.4 does not ensure that arguments to the limit function specify integer values, which makes it easier for…31Наблюдать
- ← РаньшеCVE-2011-044921 февр. 2011 г. · actionpack/lib/action_view/template/resolver.rb in Ruby on Rails 3.0.x before 3.0.4, when a case-insensitive filesystem is used, does not…31Наблюдать
- Позже →CVE-2011-292929 авг. 2011 г. · The template selection functionality in actionpack/lib/action_view/template/resolver.rb in Ruby on Rails 3.0.x before 3.0.10 and 3.1.x…21Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| RubyGems:actionpack | 2.3.12 | Реестр пакетов (OSV) |
| RubyGems:actionpack | 3.0.8 | Реестр пакетов (OSV) |
| RubyGems:activesupport | 2.3.12 | Реестр пакетов (OSV) |
| RubyGems:activesupport | 3.0.8 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Охват bug bounty
Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.
В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки.
Технические детали
Условия атаки
В случае успеха
- Конфиденциальность
- нет
- Целостность
- P · данные или конфигурация могут быть изменены
- Доступность
- нет
- Сложность атаки
- M
- Влияние на конфиденциальность
- Нет
- Влияние на целостность
- P
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-79 · Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')Вектор CVSS
AV:N/AC:M/Au:N/C:N/I:P/A:N
nvd-primary
Первопричина
Пользовательский контент вставляется в страницу как HTML. Браузер интерпретирует его как код, а не как данные.
Ошибка в коде
Весь класс CWE-79Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
commentEl.innerHTML = comment.body;Исправленный код
commentEl.textContent = comment.body;Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
- XSS Using MIME Type MismatchCAPEC-209Medium
- DOM-Based XSSCAPEC-588вероятность: High · Very High
- Reflected XSSCAPEC-591вероятность: High · Very High
- Stored XSSCAPEC-592вероятность: High · Very High
- Cross-Site Scripting (XSS)CAPEC-63вероятность: High · Very High
- AJAX FootprintingCAPEC-85вероятность: High · Low
Техники ATT&CK
—
Журнал изменений (1)
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 6)Свернуть
- lists.fedoraproject.org/pipermail/package-announce/2011-July/062514.html
- lists.fedoraproject.org/pipermail/package-announce/2011-June/062090.html
- openwall.com/lists/oss-security/2011/06/09/2
- openwall.com/lists/oss-security/2011/06/13/9
- secunia.com/advisories/44789
- weblog.rubyonrails.org/2011/6/8/potential-xss-vulnerability-in-ruby-on-rails-applications
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.