在 3.5.1 之前的 Redcarpet 版本中，存在一个可发起跨站脚本攻击的注入漏洞。

在受影响的版本中，处理引号时未执行任何 HTML 转义。即使使用了“: escape_html”选项，这一点同样适用。

对于 Debian 9 Stretch，已在版本 3.3.4-2+deb9u1 中修复此问题。

我们建议您升级 ruby-redcarpet 程序包。

如需了解 ruby-redcarpet 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/ruby-redcarpet

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

检测

Debian DLA-2526-1：ruby-redcarpet 安全更新

medium Nessus 插件 ID 145217

未找到变更日志