2011 年 2 月 8 日，星期二

最新发布：2.3.11 和 3.0.4

由 michael 发布

今天发布了两个新版本的 Ruby On Rails。除了包含一些错误修复外，它们还修复了一些安全问题。有关每个漏洞的详细信息可在 rubyonrails-security 邮件列表上找到。我们强烈建议您尽快更新生产环境中的 Rails 应用程序。我将直接链接到 Google Talk 存档，而不是单独将安全公告发布到博客上。

使用 gem install rails 安装最新版本。或者，如果您正在使用 bundler，请编辑您的 gemfile 并运行 bundle update rails。

摘要

影响 2.×.x 和 3.0.x

  • “XSS 风险 mail_to :encode=>:javascript”：http://groups.google.com/group/rubyonrails-security/t/f02a48ede8315f81 CVE-2011-0446
  • CSRF 绕过风险 CVE-2011-0447

仅影响 3.0.x