CVE:CVE-2011-0447
CNNVD:CNNVD-201102-214
Ruby on Rails 是一个新的Web应用程序框架，构建在Ruby语言之上。
Ruby on Rails 2.1.x，2.2.x及2.3.11之前的2.3.x版本，3.0.4之前的3.x版本没有正确验证包含X-Requested-With头的HTTP请求。远程攻击者更容易借助利用了"组合的浏览器插件及HTTP重定向"的伪造(1)AJAX或者(2)API请求进行跨站请求伪造攻击。
solution:Upgrade rubyonrails rails to a higher version than 2.1.0,2.1.1,2.1.2,2.2.0,2.2.1,2.2.2,2.3.2,2.3.3,2.3.4,2.3.9,2.3.10,3.0.0,3.0.0:beta,3.0.0:beta2,3.0.0:beta3,3.0.0:beta4,3.0.0:rc,3.0.0:rc2,3.0.1,3.0.1:pre,3.0.2,3.0.2:pre,3.0.3,3.0.4:rc1,and avoid the version 2.1.0,2.1.1,2.1.2,2.2.0,2.2.1,2.2.2,2.3.2,2.3.3,2.3.4,2.3.9,2.3.10,3.0.0,3.0.0:beta,3.0.0:beta2,3.0.0:beta3,3.0.0:beta4,3.0.0:rc,3.0.0:rc2,3.0.1,3.0.1:pre,3.0.2,3.0.2:pre,3.0.3,3.0.4:rc1