在 Redcarpet 3.5.1 之前版本中，有一個插入弱點可觸發跨網站指令碼攻擊。

在受影響的版本中，處理引號時未執行任何 HTML 逸出，即使使用了 `: escape_html` 選項，這一點同樣適用。

針對 Debian 9 Stretch，已在 3.3.4-2+deb9u1 版本中修正此問題。

建議您升級 ruby-redcarpet 套件。

如需有關 ruby-redcarpet 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/ruby-redcarpet

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2526-1：ruby-redcarpet 安全性更新

medium Nessus Plugin ID 145217

找不到變更記錄