Ruby on Rails跨站脚本执行及跨站请求伪造漏洞

发布日期：2011-01-01
更新日期：2011-04-06

受影响系统：
Ruby on Rails Ruby on Rails 3.x
Ruby on Rails Ruby on Rails 2.x
Ruby on Rails Ruby on Rails 1.x
不受影响系统：
Ruby on Rails Ruby on Rails 3.0.4
Ruby on Rails Ruby on Rails 2.3.11
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 46291
CVE ID: CVE-2011-0446,CVE-2011-0447

Ruby on Rails简称RoR或Rails，是一个使用Ruby语言写的开源Web应用框架，它是严格按照MVC结构开发的。

Ruby on Rails在实现上存在跨站脚本执行和跨站请求伪造漏洞，攻击者可利用跨站脚本执行漏洞在受影响浏览器中执行任意脚本代码，窃取Cookie验证凭证。

<*来源：Brendan Coles
        Rick Olson
        Github
  *>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Ruby on Rails
-------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.rubyonrails.com/