一、 漏洞 CVE-2016-2098 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
在Ruby on Rails 3.2.22.2之前、4.x 版本在 4.1.14.2 之前和 4.2.x 版本在 4.2.5.2 之前，Action Pack 允许远程攻击者通过利用应用程序不受限制地使用 render 方法来执行任意 Ruby 代码。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Action Pack in Ruby on Rails before 3.2.22.2, 4.x before 4.1.14.2, and 4.2.x before 4.2.5.2 allows remote attackers to execute arbitrary Ruby code by leveraging an application's unrestricted use of the render method.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Ruby on Rails Action Pack 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Ruby on Rails（Rails）是Rails核心团队开发维护的一套基于Ruby语言的开源Web应用框架，它是由大卫-海纳梅尔-韩森从美国37signals公司的项目管理工具Basecamp里分离出来的。Action Pack是其中的一个用于构建和测试MVC Web应用程序的组件。 Ruby on Rails的Action Pack中存在安全漏洞，该漏洞源于‘render’函数没有充分过滤用户提交的输入。远程攻击者可通过向应用程序发送特制的数据利用该漏洞执行任意Ruby代码。以下版本受到影响：Rub
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
输入验证错误
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2016-2098 的公开POC
# POC 描述 源链接 神龙链接
1 Proof of concept showing how CVE-2016-2098 leads to remote code execution https://github.com/hderms/dh-CVE_2016_2098 POC详情
2 A PoC of CVE-2016-2098 (rails4.2.5.1 / view render) https://github.com/CyberDefenseInstitute/PoC_CVE-2016-2098_Rails42 POC详情
3 Proof of concept CVE-2016-2098 https://github.com/Alejandro-MartinG/rails-PoC-CVE-2016-2098 POC详情
4 Ruby On Rails unrestricted render() exploit https://github.com/0x00-0x00/CVE-2016-2098 POC详情
5 CVE-2016-2098 simple POC written in bash https://github.com/its-arun/CVE-2016-2098 POC详情
6 None https://github.com/3rg1s/CVE-2016-2098 POC详情
7 This exploit is remote code execution vulnerability in Ruby-on-Rails when using render on user-supplied data https://github.com/DanielHemmati/CVE-2016-2098-my-first-exploit POC详情
8 CVE-2016-2098 - POC of RCE Ruby on Rails: Improper Input Validation (CVE-2016-2098) in bash. Remote attackers can execute arbitrary Ruby code by leveraging an application's unrestricted use of the render method. https://github.com/Debalinax64/CVE-2016-2098 POC详情
9 Remote code execution vulnerability in Ruby-on-Rails when using render on user-supplied data. https://github.com/j4k0m/CVE-2016-2098 POC详情
10 CVE-2016-2098 POC https://github.com/Shakun8/CVE-2016-2098 POC详情
11 Script that exploits the vulnerability that allows remote code execution in Ruby 2.3.8 ​​with CVE-2016-2098 https://github.com/JoseLRC97/Ruby-on-Rails-ActionPack-Inline-ERB-Remote-Code-Execution POC详情
三、漏洞 CVE-2016-2098 的情报信息