Ruby 编程语言 3.0.1、2.7.3、2.6.7 和 2.5.9 的修正版本已生成，其中消除了两个漏洞：
- CVE-2021-28965 是内置 REXML 模块中的一个漏洞，在解析和序列化特殊格式的 XML 文档时，可能会导致创建结构与原始结构不匹配的不正确 XML 文档。 该漏洞的严重性在很大程度上取决于上下文，但不能排除针对某些使用 REXML 的应用程序的攻击。
- CVE-2021-28966 是一个特定于 Windows 平台的漏洞，允许在运行 Ruby 进程的用户可写入的文件系统部分中创建任意目录或文件。 该问题是由于 Dir.mktmpdir 方法中对前缀的错误处理造成的，该方法不排除“..\\”等结构的替换。 为了进行攻击，进程在生成前缀值时必须使用外部数据。
来源： opennet.ru