[ON] Критическая уязвимость во фреймворке Ruby on Rails

[rssbot]

Представлены корректирующие выпуски web-фреймворка Ruby on Rails 2.3.14 и 3.0.10, в которых устранено 5 уязвимостей. Одна из уязвимостей, связанная с недостаточной проверкой внешних значений, обрабатываемых методом "quote_table_name", может быть использована для подстановки SQL-кода и получения полного контроля над БД сайта. Дополнительно исправлены две недоработки, позволяющие осуществить подстановку JavaScript-блоков на сайт (межсайтовый скриптинг). Одна ошибка позволяет отобразить содержимое закрытых разделов сайта. Одна проблема позволяет осуществить подстановку произвольного HTTP-заголовка, выводимого в ответ на запрос пользователя.


Источник: http://www.opennet.ru/opennews/art.shtml?num=31523


View the full article