CarrierWave 注入漏洞 CVE-2021-21305
7.5
AV
AC
AU
C
I
A
发布：
2021-02-08
修订：
2024-11-21
Mshibuya CarrierWave是美国Mshibuya个人组织的一个上传工具。提供了一种简单且极为灵活的方式来从Ruby应用程序上传文件。 CarrierWave 1.3.2和2.1.1之前版本存在注入漏洞，该漏洞源于＃manipulate!方法不恰当地求值了突变选项(：read/：write)的内容，从而允许攻击者创建一个可以作为Ruby代码执行的字符串。如果应用程序开发人员向该选项提供不受信任的输入，则会导致远程代码执行。
漏洞利用/PoC
暂无可用Exp或PoC
受影响的平台与产品
当前有2条受影响产品信息
