在以 Ruby 编写的 Web 应用程序架构 Rails 中发现两个漏洞。这两个漏洞都会影响可处理 Rails 的 Web 请求的 Action Pack。

- CVE-2016-2097 对于 Action View（Action Pack 的其中一个组件）的特别构建的请求可能会导致从任意位置渲染文件，包括应用程序视图目录以外的文件。此漏洞是因为 CVE-2016-0752 的修复不完整所致。这个缺陷是 Makandra 的 Jyoti Singh 和 Tobias Kraze 发现的。

- CVE-2016-2098 如果 Web 应用程序未正确审查用户输入，攻击者可能会控制控制器或视图中渲染方法的参数，进而导致可能执行任意 Ruby 代码。这个缺陷是 Makandra 的 Tobias Kraze 和 Phenoelit 的 Joernchen 发现的。

检测

Debian DSA-3509-1：rails - 安全更新

high Nessus 插件 ID 89791

未找到变更日志