Kiadásra kerültek a Ruby on Rails keretrendszer 7.0.4.1, 6.1.7.1 és 6.0.6.1 verzióinak javító frissítései, amelyek 6 sebezhetőséget orvosolnak. A legveszélyesebb sebezhetőség (CVE-2023-22794) lehetővé teheti a támadó által megadott SQL parancsok végrehajtását külső adatok használatakor a megjegyzésekben, amelyeket az ActiveRecord kezel. A probléma a speciális karakterek szükséges escape-elésének hiányából adódik a megjegyzések adatbázisba való mentése előtt.
A második sebezhetőség (CVE-2023-22797) nyitott redirecthez használható olyan nem megerősített külső adatok alkalmazásával, amelyeket a redirect_to kezelője használ. A fennmaradó 4 sebezhetőség szolgáltatásmegtagadást okozhat a rendszer terhelésének emelkedése miatt (főként külső adatok nem hatékony és hosszú végrehajtási reguláris kifejezésekben való feldolgozása miatt).
Forrás: opennet.ru
