Lorsque j'ai poussé l'application Rails sur GitHub, j'ai reçu un e-mail d'alarme pour une vulnérabilité liée à mini_magick. Conservez-le comme mémorandum jusqu'à la solution.
La version de mini_magick est ancienne et le nom du fichier image distant récupéré peut provoquer l'exécution de commandes distantes. La solution semble être de mettre à niveau la version.
Gemfile
gem 'mini_magick', '3.8.0'
La version actuelle de MiniMagick était 3.8 Modifiez pour installer 4.9.4 ou version ultérieure comme suggéré dans l'alerte.
Gemfile
gem 'mini_magick', '>= 4.9.4'
En modifiant comme ci-dessus, vous devriez être mis à niveau vers la version 4.9.4 ou ultérieure.
python
bundle install
La version devrait avoir changé avec cela, alors vérifiez le fonctionnement et s'il n'y a pas de problème, c'est OK. Après cela, si vous le poussez, l'alerte disparaît!