漏洞详情

CVE ID: CVE-2011-10026 GHSA ID: GHSA-x485-rhg3-cqr4 严重等级: 严重（CVSS 评分 9.3）

受影响版本

bundler / rd_searchlogic (RubyGems): 版本 <= 3.0.1（无已修补版本）。
bundler / spree (RubyGems): 版本 >= 0.30.0.beta1 且 < 0.50.0。版本 0.50.0 已修复。

漏洞描述

Spree Commerce 0.50.x 之前的版本在 API 的搜索功能中存在远程代码执行漏洞。不当的输入净化机制使得攻击者能够通过 search[instance_eval] 参数注入任意 shell 命令。该参数通过 Ruby 的 send 方法进行动态调用。此漏洞使得未经身份验证的攻击者能够在服务器上执行命令。

关联弱点

CWE-78: 操作系统命令中使用的特殊元素的不当中和（“OS命令注入”）。
CWE-94: 对代码生成的不当控制（“代码注入”）。

CVSS v4 基础指标

攻击向量（AV）: 网络（N）
攻击复杂度（AC）: 低（L）
攻击要求（AT）: 无（N）
权限要求（PR）: 无（N）
用户交互（UI）: 无（N）
受影响系统机密性影响（VC）: 高（H）
受影响系统完整性影响（VI）: 高（H）
受影响系统可用性影响（VA）: 高（H）
后续系统机密性影响（SC）: 无（N）
后续系统完整性影响（SI）: 无（N）
后续系统可用性影响（SA）: 无（N）

CVSS v4 向量字符串: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

EPSS 分数: 67.542%（第99百分位）

参考链接

时间线

由国家漏洞数据库发布: 2025年8月20日
发布至 GitHub 安全公告数据库: 2025年8月20日
审核: 2025年11月26日
最后更新: 2025年12月1日

Spree Commerce 搜索 API 漏洞导致远程代码执行（RCE）技术分析

本文详细分析了 CVE-2011-10026 漏洞，该漏洞影响 Spree Commerce 旧版本，其搜索 API 因输入净化不当，允许攻击者通过 `search[instance_eval]` 参数注入任意 shell 命令，从而实现未授权远程代码执行。