Ruby

Ruby 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 代码执行13
• 内存破坏12
• 其他弱点11
• 拒绝服务10
• 注入与走私5
• 信息泄露4
• 跨站脚本4
• 访问控制3
• 身份认证3
• 密码学缺陷3
• 开放重定向2
• 业务逻辑2
• 路径遍历1

主要弱点

• Unlabeled11
• 内存破坏（通用）9
• 资源消耗失控6
• 命令注入（通用）6
• Unlabeled4
• 操作系统命令注入3
• 存储型 XSS3
• 信息泄露3
• 认证缺陷（通用）3
• 访问控制缺陷（通用）3

常见资产

• · 44
• https://github.com/ruby/rubySOURCE_CODE · 29

高票报告

当前状态 44 份 · 全部 73

1. 62
   OS Command Injection via egrep in Rake::FileList代码执行 · 2019-08-29 · 未评级
   $0操作系统命令注入
2. 54
   Path traversal in Tempfile on windows OS due to unsanitized backslashes路径遍历 · 2021-04-07 · 中危
   $0路径遍历
3. 53
   Potential HTTP Request Smuggling in ruby webrick注入与走私 · 2020-10-29 · 低危
   $0HTTP 请求走私
4. 41
   RCE by parsing `.rdoc_options` in RDoc代码执行 · 2024-07-03 · 未评级
   $0代码注入
5. 36
   Command injection in Pathname代码执行 · 2019-04-01 · 未评级
   $0命令注入（通用）
6. 32
   ReDoS in IPAddr拒绝服务 · 2025-07-09 · 未评级
   $0Unlabeled
7. 28
   NET::Ftp allows command injection in filenames代码执行 · 2017-12-19 · 低危
   $0命令注入（通用）
8. 26
   ReDoS in Psych拒绝服务 · 2025-07-09 · 未评级
   $0Unlabeled
9. 26
   Ruby: Heap Overflow in Floating Point Parsing内存破坏 · 2013-11-22 · 未评级
   $0Unlabeled
10. 22
    URI parser's RFC3986 regular expression has poor performance when there are two # characters, leading to ReDoS拒绝服务 · 2023-12-13 · 中危
    $0Unlabeled
11. 21
    Uncontrolled Resource Consumption when parsing maliciously crafted XML with REXML拒绝服务 · 2025-02-20 · 中危
    $0资源消耗失控
12. 20
    Round-trip instability in REXML其他弱点 · 2021-04-15 · 中危
    $0Unlabeled
13. 20
    Variant of CVE-2013-0269 (Denial of Service and Unsafe Object Creation Vulnerability in JSON)业务逻辑 · 2020-04-23 · 中危
    $0业务逻辑错误
14. 18
    sprintf combined format string attack内存破坏 · 2017-09-22 · 中危
    $0内存破坏（通用）
15. 17
    WEBrick::HTTPAuth::DigestAuth authentication is vulnerable to regular expression denial of service (ReDoS)拒绝服务 · 2019-11-16 · 低危
    $0资源消耗失控
16. 17
    Unix domain socket and a path containing a null character访问控制 · 2018-03-31 · 未评级
    $0访问控制缺陷（通用）
17. 17
    Ruby OpenSSL Library - IV Reuse in GCM Mode其他弱点 · 2021-03-07 · 未评级
    $0Unlabeled
18. 17
    Arbitrary heap overread in strscan on 32 bit Ruby, patch included信息泄露 · 2016-11-17 · 低危
    $0信息泄露
19. 15
    Unintentional file creation caused at Tempfile with directory traversal访问控制 · 2018-04-01 · 未评级
    $0访问控制缺陷（通用）
20. 14
    Open S3 Bucket WriteAble To Any Aws User身份认证 · 2017-03-30 · 高危
    $0认证缺陷（通用）
21. 14
    Writable RubyCi Amazon s3 bucket身份认证 · 2017-02-27 · 高危
    $0认证缺陷（通用）
22. 13
    The possibility that unintended file operation may be performed because some methods of `Dir` do not check NULL characters.访问控制 · 2018-04-01 · 未评级
    $0访问控制缺陷（通用）
23. 13
    StringIO strio_getline() can divulge arbitrary memory内存破坏 · 2016-06-21 · 未评级
    $0内存破坏（通用）
24. 12
    controlled buffer under-read in pack_unpack_internal()内存破坏 · 2018-03-30 · 中危
    $0Buffer Under-read
25. 11
    OpenSSL::X509::Name Equality Check Does Not Work, Patch included密码学缺陷 · 2018-10-20 · 中危
    $0证书校验不当