CVE-2026-41316 in erb
Сводка
по VulDB • 17.05.2026
ERB — это система шаблонов для Ruby. В Ruby 2.7.0 (до публикации ERB 2.2.0 на rubygems.org) была добавлена защита с использованием экземпляра `@_init` в методах `ERB#result` и `ERB#run` для предотвращения выполнения кода при восстановлении объекта ERB через `Marshal.load` (десериализация). Однако три других общедоступных метода, которые также вычисляют `@src` через `eval()`, не получили аналогичной защиты: `ERB#def_method`, `ERB#def_module` и `ERB#def_class`. Атакующий, способный вызвать `Marshal.load` для непроверенных данных в приложении Ruby, в котором загружена библиотека `erb`, может использовать `ERB#def_module` (с нулевым аргументом и параметрами по умолчанию) как точку выполнения кода, полностью обходя защиту `@_init`. Уязвимость исправлена в версиях ERB 4.0.3.1, 4.0.4.1, 6.0.1.1 и 6.0.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.