RDoc 命令注入（CVE-2021-31799）

# RDoc 命令注入（CVE-2021-31799）

RDoc调用Kernel#open打开本地文件，ruby项目中如果文件名以|开头和tags结尾，则会导致命令注入。

影响版本：

从3.11到6.3.0的所有RDoc版本

PoC：

“`
touch “|touch cb”
rdoc “|touch cb”
“`
ref：

* https://www.ruby-lang.org/en/news/2021/05/02/os-command-injection-in-rdoc/
* https://security.archlinux.org/CVE-2021-31799