CVE:CVE-2021-21305
CNNVD:CNNVD-202102-590
Mshibuya CarrierWave是美国Mshibuya个人组织的一个上传工具。提供了一种简单且极为灵活的方式来从Ruby应用程序上传文件。
Mshibuya CarrierWave 1.3.2和2.1.1之前版本存在代码注入漏洞，该漏洞源于#manipulate!方法不恰当地求值了突变选项(:read/:write)的内容，从而允许攻击者创建一个可以作为Ruby代码执行的字符串。如果应用程序开发人员向该选项提供不受信任的输入，则会导致远程代码执行。
solution:Upgrade carrierwave_project carrierwave to a higher version than 1.3.2,2.1.1,and avoid the version (,1.3.2),[2.0.1,2.1.1)