CVE:CVE-2015-1840
CNNVD:CNNVD-201506-457
Ruby on Rails（Rails）是Rails核心团队开发维护的一套基于Ruby语言的开源Web应用框架，它是由大卫-海纳梅尔-韩森从美国37signals公司的项目管理工具Basecamp里分离出来的。jquery-ujs是其中的一个脚本支持文件；jquery-rails是为Rails 4+应用程序提供jQuery和jQuery-ujs驱动的插件。
Ruby on Rails中使用的jquery-ujs中的rails.js文件和jquery-rails中的jquery_ujs.js文件存在安全漏洞。远程攻击者可借助属性值中的URL中的前导空格字符利用该漏洞绕过同源策略，将CSRF令牌传输到不同域的Web服务器中。以下产品及版本受到影响：Rails 3.x版本和4.x版本，jquery-ujs 1.0.4之前版本，jquery-rails 3.1.3之前版本和4.0.4之前4.x版本。
solution:Upgrade fedoraproject fedora to a higher version than 21,22,and avoid the version 21,22; Upgrade rubyonrails jquery-rails to a higher version than 3.1.2,4.0.0,4.0.1,and avoid the version (,3.1.2],4.0.0,4.0.1; Upgrade rubyonrails jquery-ujs to a higher version than 1.0.3,and avoid the version (,1.0.3]; Upgrade opensuse opensuse to a higher version than 13.1,13.2,and avoid the version 13.1,13.2