Missing Regex anchor in Rack-Cors allows malicious third party site to perform CORS request

高 8.8CVE-2017-11173 · GHSA-2j9c-9vmv-7m39 · 13/07/2017 公開 · 17/06/2026 更新

要点

CVE-2017-11173 は rack-cors, rack-cors (rack-cors project) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.7% より高い）。
対処：0.4.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
rack-cors RubyGems	`< 0.4.1`	`0.4.1`
rack-cors rack-cors_project	`< 0.4.1`	`0.4.1`

概要

Missing anchor in generated regex for rack-cors before 0.4.1 allows a malicious third-party site to perform CORS requests. If the configuration were intended to allow only the trusted example.com domain name and not the malicious example.net domain name, then example.com.example.net (as well as example.com-example.net) would be inadvertently allowed.

NVD の説明

Missing anchor in generated regex for rack-cors before 0.4.1 allows a malicious third-party site to perform CORS requests. If the configuration were intended to allow only the trusted example.com domain name and not the malicious example.net domain name, then example.com.example.net (as well as example.com-example.net) would be inadvertently allowed.

参考情報

nvd.nist.gov/vuln/detail/CVE-2017-11173 · ADVISORY
cyu/rack-cors commit 42ebe6c · WEB
cyu/rack-cors · PACKAGE
packetstormsecurity.com/files/143345/rack-cors-Missing-Anchor.html · WEB
seclists.org/fulldisclosure/2017/Jul/22 · WEB
debian.org/security/2017/dsa-3931 · WEB

rack-cors のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

rack-cors

RubyGems

< 0.4.1

0.4.1

rack-cors

rack-cors_project

< 0.4.1

0.4.1

概要

NVD の説明

Missing anchor in generated regex for rack-cors before 0.4.1 allows a malicious third-party site to perform CORS requests. If the configuration were intended to allow only the trusted example.com domain name and not the malicious example.net domain name, then example.com.example.net (as well as example.com-example.net) would be inadvertently allowed.