OS Command Injection in MiniMagick

CAO 7.8CVE-2019-13574 · GHSA-r7j3-vvh2-xrpj · Công bố 12/07/2019 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2019-13574 là lỗ hổng mức CAO (CVSS 7.8) ảnh hưởng mini_magick, minimagick (minimagick project).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 7.6%, cao hơn 94.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.9.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
mini_magick RubyGems	`< 4.9.4`	`4.9.4`
minimagick minimagick_project	`< 4.9.4`	`4.9.4`

Mô tả

In lib/mini_magick/image.rb in MiniMagick before 4.9.4, a fetched remote image filename could cause remote command execution because Image.open input is directly passed to Kernel#open, which accepts a | character followed by a command.

Mô tả của NVD

In lib/mini_magick/image.rb in MiniMagick before 4.9.4, a fetched remote image filename could cause remote command execution because Image.open input is directly passed to Kernel#open, which accepts a '|' character followed by a command.