В Ruby on Rails устранена уязвимость, допускающая подстановку SQL-кода

Ответить на тему

Автор

Сообщение

news_bot ^®

Стаж: 6 лет 9 месяцев
Сообщений: 27286

news_bot ^® написал(а)
20-Янв-2023 15:54

Цитировать

Опубликованы корректирующие обновления фреймворка Ruby on Rails 7.0.4.1, 6.1.7.1 и 6.0.6.1, в которых устранено 6 уязвимостей. Наиболее опасная уязвимость (CVE-2023-22794) может привести к выполнению заданных атакующим SQL-команд при использовании внешних данных в комментариях, обрабатываемых в ActiveRecord. Проблема вызвана отсутствием необходимого экранирования спецсимволов в комментариях перед их сохранением в СУБД.
Вторая уязвимость (CVE-2023-22797) может применяться к организации проброса на другие страницы (открытый редирект) при использовании непроверенных внешних данных в обработчике redirect_to.
Остальные 4 уязвимости приводят к отказу в обслуживании из-за создания высокой нагрузки на ситему (в основном из-за обработки внешних данных в неэффективных и длительно выполняемых регулярных выражениях).
===========
Источник:
OpenNet.RU
===========

В Ruby on Rails устранена уязвимость, допускающая подстановку SQL-кода

Похожие новости