CVE-2019-5477
Açıklama
Nokogiri v1.10.3 ve önceki sürümlerdeki bir komut enjeksiyonu zafiyeti, Ruby'nin `Kernel.open` yöntemi aracılığıyla bir alt işlemde komutların çalıştırılmasına izin verir. İşlemler, yalnızca belgelenmemiş olan `Nokogiri::CSS::Tokenizer#load_file` yönteminin dosya adı olarak güvenli olmayan kullanıcı girdisiyle çağrılması durumunda savunmasızdır. Bu zafiyet, Rexical gem v1.0.6 ve önceki sürümleri tarafından oluşturulan kodlarda görülmektedir. Rexical, CSS sorgularını ayrıştırmak için sözcük tarayıcı kodu oluşturmak amacıyla Nokogiri tarafından kullanılır. Temeldeki zafiyet Rexical v1.0.7 sürümünde giderilmiş ve Nokogiri, v1.10.4 sürümü ile Rexical'ın bu versiyonuna yükseltilmiştir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nokogiri nokogiri | v ≤ 1.10.3 | — |
| canonical ubuntu_linux | 16.04, 18.04, 19.04, 19.10 | — |
| debian debian_linux | 8.0, 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.