Nós lançamos as versões da gem cgi 0.3.5, 0.2.2, e 0.1.0.2 que possuem uma correção de segurança para uma vulnerabilidade de HTTP response splitting.
Essa vulnerabilidade foi atribuída ao identificador [CVE-2021-33621](https://www.cve.org/CVERecord?id=CVE-2021-33621).

## Detalhes

Se uma aplicação que gera respostas HTTP usando a gem cgi com uma entrada de dados não confiável do usuário, um atacante pode explorá-la injetando um body e/ou header malicioso na resposta HTTP.

Também, os conteúdos de um objeto `CGI::Cookie` não eram verificados apropriadamente. Se uma aplicação cria um objeto `CGI::Cookie` baseado nos dados de entrada do usuário, um atacante pode explorá-lo para injetar atributos inválidos no cabeçalho `Set-Cookie`. Nós achamos tais aplicações indesejadas, mas incluímos uma alteração para verificar os argumentos em `CGI::Cookie#initialize` preventivamente.

Por favor atualize a gem cgi para as versões 0.3.5, 0.2.2, e 0.1.0.2, ou maiores. Você pode usar `gem update cgi` para atualizá-la.
Se você está usando o bundler, por favor adicione `gem "cgi", ">= 0.3.5"` ao seu `Gemfile`.

## Versões afetadas

* gem cgi 0.3.3 ou anteriores
* gem cgi 0.2.1 ou anteriores
* gem cgi 0.1.1 ou 0.1.0.1 ou 0.1.0

## Créditos

Obrigado ao [Hiroshi Tokumaru](https://hackerone.com/htokumaru?type=user) por descobrir essa issue.

## Histórico

* Originalmente publicado em 2022-11-22 02:00:00 (UTC)