রুবি অন রেলে SQL প্রতিস্থাপন দুর্বলতা স্থির করা হয়েছে

রুবি অন রেল ফ্রেমওয়ার্ক 7.0.4.1, 6.1.7.1 এবং 6.0.6.1-এর সংশোধনমূলক আপডেট প্রকাশিত হয়েছে, যাতে 6টি দুর্বলতা সংশোধন করা হয়েছে। সবচেয়ে বিপজ্জনক দুর্বলতা (CVE-2023-22794) অ্যাক্টিভরেকর্ডে প্রক্রিয়া করা মন্তব্যগুলিতে বহিরাগত ডেটা ব্যবহার করার সময় আক্রমণকারীর দ্বারা নির্দিষ্ট করা SQL কমান্ডগুলি কার্যকর করতে পারে। ডিবিএমএসে সেভ করার আগে মন্তব্যে বিশেষ অক্ষরগুলির প্রয়োজনীয় পালানোর অভাবের কারণে সমস্যাটি ঘটে।

দ্বিতীয় দুর্বলতা (CVE-2023-22797) অন্য পৃষ্ঠাগুলিতে ফরওয়ার্ড করার জন্য প্রয়োগ করা যেতে পারে (ওপেন রিডাইরেক্ট) যখন redirect_to হ্যান্ডলারে অযাচাইকৃত বাহ্যিক ডেটা ব্যবহার করা হয়। অবশিষ্ট 4টি দুর্বলতা সিস্টেমে উচ্চ লোডের (প্রধানত অদক্ষ এবং সময়সাপেক্ষ রেগুলার এক্সপ্রেশনে বাহ্যিক ডেটা প্রক্রিয়াকরণের কারণে) এর কারণে পরিষেবা অস্বীকার করে।

উত্স: opennet.ru