漏洞详情

包

• bundler / rd_searchlogic (RubyGems)
• bundler / spree (RubyGems)

受影响版本

• rd_searchlogic：版本 <= 3.0.1
• spree：版本 >= 0.30.0.beta1 且 < 0.50.0

已修复版本

• spree：版本 0.50.0

描述

Spree Commerce 在 0.50.x 之前的版本中，其 API 的搜索功能存在一个远程命令执行（RCE）漏洞。由于对输入数据清理不当，攻击者可以通过 search[instance_eval] 参数注入任意 Shell 命令。该参数会通过 Ruby 的 send 方法被动态调用。此漏洞使得未经身份验证的攻击者能够在服务器上执行命令。

参考资料

• https://nvd.nist.gov/vuln/detail/CVE-2011-10026
• https://github.com/spree
• https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/spree_searchlogic_exec.rb
• https://web.archive.org/web/20111120023342/http://spreecommerce.com/blog/2011/04/19/security-fixes
• https://www.exploit-db.com/exploits/17199
• https://www.vulncheck.com/advisories/spreecommerce-api-rce
• spree/spree@0a9a360
• spree/spree@3b559e7

发布时间

• 由国家漏洞数据库（NVD）发布：2025年8月20日
• 发布至 GitHub Advisory Database：2025年8月20日
• 审核时间：2025年11月26日
• 最后更新时间：2025年11月26日

严重程度

严重 CVSS 总体评分：9.3 / 10

CVSS v4 基础指标

可利用性指标

• 攻击向量：网络
• 攻击复杂度：低
• 攻击要求：无
• 所需权限：无
• 用户交互：无

脆弱系统影响指标

• 机密性：高
• 完整性：高
• 可用性：高

后续系统影响指标

• 机密性：无
• 完整性：无
• 可用性：无

CVSS:4.0 向量：AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

EPSS 分数

64.733% (第98百分位) 此分数估计了该漏洞在未来30天内被利用的概率。数据由 FIRST 提供。

弱点

• CWE-78：对用于操作系统命令的特殊元素中和不当（“操作系统命令注入”）
• CWE-94：对代码生成的控制不当（“代码注入”）

标识符

• CVE ID：CVE-2011-10026
• GHSA ID：GHSA-x485-rhg3-cqr4

源代码

• spree/spree