CVE:CVE-2010-3978
CNNVD:CNNVD-201011-189
Spree（又名Spree Commerce）是美国Spree Commerce公司的一套基于Ruby on Rails的开源电子商务解决方案。
Spree 0.11.2之前的0.11.x版本以及0.30.0之前的0.30.x版本交换了使用不带验证请求机制的avaScript Object Notation(JSON)的数据。远程攻击者可以借助和(1)admin/products.json，(2)admin/users.json，或者(3)admin/overview/get_report_data有关的向量获得敏感信息。该漏洞和"JSON劫持"问题有关。
solution:Upgrade spreecommerce spree to a higher version than 0.11.0,0.11.1,0.30.0:beta1,and avoid the version 0.11.0,0.11.1,0.30.0:beta1