Ruby

Ruby 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 代码执行13
• 内存破坏12
• 其他弱点11
• 拒绝服务10
• 注入与走私5
• 信息泄露4
• 跨站脚本4
• 访问控制3
• 身份认证3
• 密码学缺陷3
• 开放重定向2
• 业务逻辑2
• 路径遍历1

主要弱点

• Unlabeled11
• 内存破坏（通用）9
• 资源消耗失控6
• 命令注入（通用）6
• Unlabeled4
• 操作系统命令注入3
• 存储型 XSS3
• 信息泄露3
• 认证缺陷（通用）3
• 访问控制缺陷（通用）3

常见资产

• · 44
• https://github.com/ruby/rubySOURCE_CODE · 29

高票报告

当前状态 22 份 · 全部 73

1. 40
   The taint flag is not propagated at JSON.parse其他弱点 · 2024-01-05 · 未评级
   $0Unlabeled
2. 16
   XSS exploit of RDoc documentation generated by rdoc (CVE-2013-0256)跨站脚本 · 2023-07-18 · 中危
   $0存储型 XSS
3. 14
   DoS in bigdecimal's sqrt function due to miscalculation of loop iterations拒绝服务 · 2023-12-20 · 中危
   $0资源消耗失控
4. 9
   'net/http': HTTP Header Injection in the set_content_type method注入与走私 · 2022-02-04 · 高危
   $0CRLF 注入
5. 8
   'net/ftp': Uncontrolled Resource Consumption (Memory/CPU)拒绝服务 · 2021-04-21 · 中危
   $0资源消耗失控
6. 8
   Attacker can smuggle a malicious domain in a URI object.开放重定向 · 2022-12-14 · 未评级
   $0开放重定向
7. 5
   Header CRLF Injection in Ruby Net::HTTP注入与走私 · 2023-05-04 · 低危
   $0CRLF 注入
8. 5
   XSS exploit of RDoc documentation generated by rdoc跨站脚本 · 2023-07-18 · 中危
   $0存储型 XSS
9. 5
   Resolv::getaddresses bug that can be abused to bypass security measures.业务逻辑 · 2018-02-23 · 未评级
   $0违反安全设计原则（按标题归类）
10. 5
    Ruby:HTTP Header injection in 'net/http'开放重定向 · 2017-02-27 · 未评级
    $0开放重定向
11. 4
    Stored XSS in RDoc hyperlinks through javascript scheme跨站脚本 · 2023-07-18 · 中危
    $0存储型 XSS
12. 4
    OS Command Injection in '/lib/un.rb -- Utilities to replace common UNIX commands in Makefiles etc'代码执行 · 2021-07-19 · 中危
    $0操作系统命令注入
13. 4
    Ruby 2.4.1 has "Stack consistency error" and aborts when processing return statement within a case statement内存破坏 · 2017-09-24 · 未评级
    $0内存破坏（通用）
14. 3
    Bug Report : [ No Valid SPF Records ]其他弱点 · 2022-01-14 · 高危
    $0Unlabeled
15. 3
    XMLRPC does not limit deserializable classes.代码执行 · 2023-08-02 · 高危
    $0不可信数据反序列化
16. 3
    Net::SMTP with tls allows forged certificates as long as the hostname matches密码学缺陷 · 2021-01-25 · 中危
    $0证书校验不当
17. 2
    Heap corruption in string.c tr_trans() due to undersized buffer内存破坏 · 2016-06-21 · 未评级
    $0内存破坏（通用）
18. 1
    DRb denial of service vulnerability拒绝服务 · 2021-03-07 · 低危
    $0资源消耗失控
19. 1
    Heap corruption in DateTime.strftime() on 32 bit for certain format strings内存破坏 · 2016-06-21 · 未评级
    $0内存破坏（通用）
20. 0
    SEGV in parse_rat()拒绝服务 · 2018-06-13 · 未评级
    $0资源消耗失控
21. 0
    Invalid URL parsing '#'其他弱点 · 2018-05-01 · 低危
    $0Unlabeled
22. 0
    Integer Underflow @ ossl_cipher_pkcs5_keyivgen内存破坏 · 2018-02-23 · 低危
    $0Integer Underflow