漏洞起因
输入验证错误
危险等级
低
影响系统
Ruby on Rails 3.0.x
Ruby on Rails 3.1.x
Ruby on Rails 3.2.x
不受影响系统
危害
远程攻击者可以利用漏洞进行跨站脚本攻击，获得敏感信息或劫持用户会话。
攻击所需条件
攻击者必须访问Ruby on Rails。
漏洞信息
Ruby on Rails是一款Web应用程序框架，构建在Ruby语言之上。
Ruby on Rails存在安全漏洞，允许攻击者进行跨站脚本攻击。
1)通过`[]`和其他方法直接操作SafeBuffer对象传递的输入在返回用户之前缺少过滤，可导致XSS攻击，可在目标用户浏览器上执行恶意脚本代码。
2)手动生成select标签选项传递的输入在返回用户之前缺少过滤，可导致XSS攻击，可在目标用户浏览器上执行恶意脚本代码。
测试方法
厂商解决方案
Ruby on Rails 3.2.2, 3.1.4或3.0.12已经修复此漏洞，建议用户下载使用：
http://www.rubyonrails.com/
漏洞提供者
1) Akira Matsuda
2) Sergey Nartimov
评论关闭。