OS Command Injection in MiniMagick

高 7.8CVE-2019-13574 · GHSA-r7j3-vvh2-xrpj · 12/07/2019 公開 · 17/06/2026 更新

要点

CVE-2019-13574 は mini_magick, minimagick (minimagick project) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：7.6%（全脆弱性の 94.6% より高い）。
対処：4.9.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mini_magick RubyGems	`< 4.9.4`	`4.9.4`
minimagick minimagick_project	`< 4.9.4`	`4.9.4`

概要

In lib/mini_magick/image.rb in MiniMagick before 4.9.4, a fetched remote image filename could cause remote command execution because Image.open input is directly passed to Kernel#open, which accepts a | character followed by a command.

NVD の説明

In lib/mini_magick/image.rb in MiniMagick before 4.9.4, a fetched remote image filename could cause remote command execution because Image.open input is directly passed to Kernel#open, which accepts a '|' character followed by a command.