रुबी अन रेलहरूमा SQL प्रतिस्थापन जोखिम फिक्स गरियो

रुबी अन रेल ढाँचा 7.0.4.1, 6.1.7.1 र 6.0.6.1 मा सुधारात्मक अद्यावधिकहरू प्रकाशित गरिएका छन्, जसमा 6 कमजोरीहरू फिक्स गरिएको छ। सबैभन्दा खतरनाक जोखिम (CVE-2023-22794) ले ActiveRecord मा प्रशोधन गरिएका टिप्पणीहरूमा बाह्य डेटा प्रयोग गर्दा आक्रमणकर्ताद्वारा निर्दिष्ट SQL आदेशहरूको कार्यान्वयन गर्न सक्छ। समस्या DBMS मा बचत गर्नु अघि टिप्पणीहरूमा विशेष क्यारेक्टरहरूको आवश्यक एस्केपिङको कमीको कारणले गर्दा भएको हो।

दोस्रो जोखिम (CVE-2023-22797) अन्य पृष्ठहरूमा फर्वार्ड गर्न (खुला रिडिरेक्ट) मा लागू गर्न सकिन्छ जब redirect_to ह्यान्डलरमा अप्रमाणित बाह्य डेटा प्रयोग गरिन्छ। बाँकी 4 कमजोरीहरूले प्रणालीमा उच्च भार (मुख्यतया अकुशल र समय-उपभोग नियमित अभिव्यक्तिहरूमा बाह्य डेटा प्रशोधनको कारणले गर्दा) सेवा अस्वीकार गर्न नेतृत्व गर्दछ।

स्रोत: opennet.ru