Gemirro Stored XSS in Gemspec "homepage" value

中 6.1CVE-2017-16833 · GHSA-x7p2-x2j6-mwhr · 15/11/2017 公開 · 17/06/2026 更新

要点

CVE-2017-16833 は gemirro, gemirro (gemirro project) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.81%（全脆弱性の 57.2% より高い）。
対処：0.16.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
gemirro RubyGems	`< 0.16.0`	`0.16.0`
gemirro gemirro_project	`< 0.16.0`	`0.16.0`

概要

Stored cross-site scripting (XSS) vulnerability in Gemirro before 0.16.0 allows attackers to inject arbitrary web script via a crafted javascript: URL in the "homepage" value of a ".gemspec" file. A ".gemspec" file must be created with a JavaScript URL in the homepage value. This can be used to build a gem for upload to the Gemirro server, in order to achieve stored XSS via the author name hyperlink.

NVD の説明

Stored cross-site scripting (XSS) vulnerability in Gemirro before 0.16.0 allows attackers to inject arbitrary web script via a crafted javascript: URL in the "homepage" value of a ".gemspec" file.

参考情報

nvd.nist.gov/vuln/detail/CVE-2017-16833 · ADVISORY
PierreRambaud/gemirro commit 9659f9b · WEB
PierreRambaud/gemirro · PACKAGE
rubysec/ruby-advisory-db · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

gemirro

RubyGems

< 0.16.0

0.16.0

gemirro

gemirro_project

< 0.16.0

0.16.0

概要

NVD の説明

Stored cross-site scripting (XSS) vulnerability in Gemirro before 0.16.0 allows attackers to inject arbitrary web script via a crafted javascript: URL in the "homepage" value of a ".gemspec" file.