Korektaj ĝisdatigoj al la kadro Ruby on Rails 7.0.4.1, 6.1.7.1 kaj 6.0.6.1 estis publikigitaj, en kiuj 6 vundeblecoj estas fiksitaj. La plej danĝera vundebleco (CVE-2023-22794) povas konduki al la plenumo de SQL-komandoj specifitaj de la atakanto kiam oni uzas eksterajn datumojn en komentoj prilaboritaj en ActiveRecord. La problemo estas kaŭzita de la manko de necesa eskapo de specialaj signoj en komentoj antaŭ konservi ilin en la DBMS.
La dua vundebleco (CVE-2023-22797) povas esti aplikata al plusendado al aliaj paĝoj (malferma alidirektilo) kiam oni uzas nekontrolitajn eksterajn datumojn en la pritraktilo redirect_to. La ceteraj 4 vundeblecoj kondukas al neo de servo pro la alta ŝarĝo sur la sistemo (ĉefe pro prilaborado de eksteraj datumoj en malefikaj kaj tempopostulaj regulaj esprimoj).
fonto: opennet.ru