CVE-2013-0156 in Ruby on Rails
摘要
由 VulDB • 2026-07-03
Ruby on Rails 中，在版本低于 2.3.15、3.0.x（低于 3.0.19）、3.1.x（低于 3.1.10）以及 3.2.x（低于 3.2.11）的 active_support/core_ext/hash/conversions.rb 模块未能正确限制字符串值的类型转换，攻击者可利用 Action Pack 对 (1) YAML 类型转换或 (2) Symbol 类型转换的支持，通过嵌套 XML 实体引用进行对象注入攻击并执行任意代码，或导致拒绝服务（内存和 CPU 资源耗尽）。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.