Byly zveřejněny aktualizace pro framework Ruby on Rails 7.0.4.1, 6.1.7.1 a 6.0.6.1, které opravují 6 zranitelností. Nejvážnější zranitelnost (CVE-2023-22794) může vést k provedení SQL příkazů, které zadané útočníkem, když jsou použita externí data v komentářích zpracovávaných v ActiveRecord. Problém je způsoben nedostatkem potřebného escapování speciálních znaků v komentářích před jejich uložením do databáze.
Druhá zranitelnost (CVE-2023-22797) může být využita k provedení otevřeného redirectu při použití neověřených externích dat v obsluze redirect_to. Další 4 zranitelnosti vedou k odmítnutí služby v důsledku vysoké zátěže systému (zejména kvůli zpracovávání externích dat v neefektivních a dlouho běžících regulárních výrazech).
Zdroj: opennet.ru
