漏洞概述

CVE-2011-10026 是一个影响Spree Commerce开源电子商务平台的严重安全漏洞。该漏洞存在于平台API的搜索功能中，由于对用户输入缺乏适当的清理和验证，允许攻击者执行远程代码（RCE）。

受影响版本

受影响的包及版本

• bundler / rd_searchlogic (RubyGems): 版本 <= 3.0.1
• bundler / spree (RubyGems): 版本 >= 0.30.0.beta1 且 < 0.50.0

已修复版本

• spree: 0.50.0

漏洞详情

Spree Commerce在0.50.x之前的版本中，其API的搜索功能存在一个远程命令执行漏洞。问题的根源在于对用户输入的处理不当，未能进行充分的净化（input sanitation）。

攻击者可以利用search[instance_eval]参数注入任意的Shell命令。该参数会被系统使用Ruby的send方法动态调用。这个安全缺陷使得未经身份验证的攻击者能够在服务器上执行命令。

技术原理

漏洞本质上属于OS命令注入（CWE-78）和代码注入（CWE-94）的范畴。系统在构建操作系统命令时，使用了来自上游组件（用户输入）的外部影响数据，但未能对可能修改预期OS命令的特殊元素进行正确的处理或中和。

严重性评估

• CVSS总体评分: 9.3 (严重)
• EPSS分数: 67.542% (第99百分位数，表示未来30天内被利用的概率较高)

CVSS v4 基础指标

可利用性指标:

• 攻击向量: 网络
• 攻击复杂度: 低
• 攻击要求: 无
• 所需权限: 无
• 用户交互: 无

脆弱系统影响指标:

• 机密性影响: 高
• 完整性影响: 高
• 可用性影响: 高

参考资料

1. https://nvd.nist.gov/vuln/detail/CVE-2011-10026
2. https://github.com/spree
3. https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/spree_searchlogic_exec.rb
4. https://web.archive.org/web/20111120023342/http://spreecommerce.com/blog/2011/04/19/security-fixes
5. https://www.exploit-db.com/exploits/17199
6. https://www.vulncheck.com/advisories/spreecommerce-api-rce
7. spree/spree@0a9a360 (GitHub提交)
8. spree/spree@3b559e7 (GitHub提交)
9. https://github.com/rubysec/ruby-advisory-db/blob/master/gems/rd_searchlogic/CVE-2011-10026.yml
10. https://github.com/rubysec/ruby-advisory-db/blob/master/gems/spree/CVE-2011-10026.yml

时间线

• 国家漏洞数据库发布: 2025年8月20日
• GitHub咨询数据库发布: 2025年8月20日
• 审核日期: 2025年11月26日
• 最后更新: 2025年12月1日

建议

所有运行Spree Commerce 0.50.0之前版本的用户应立即升级到0.50.0或更高版本，以修复此关键安全漏洞。在升级之前，应审查系统日志，检查是否有未经授权的命令执行活动。