Er zijn correctieve updates gepubliceerd voor het Ruby on Rails-framework 7.0.4.1, 6.1.7.1 en 6.0.6.1, waarin 6 kwetsbaarheden zijn verholpen. De meest ernstige kwetsbaarheid (CVE-2023-22794) kan leiden tot het uitvoeren van door de aanvaller opgelegde SQL-opdrachten bij het gebruik van externe gegevens in opmerkingen die worden verwerkt in ActiveRecord. Het probleem wordt veroorzaakt door het ontbreken van de noodzakelijke escaping van speciale tekens in opmerkingen voordat ze in de database worden opgeslagen.
De tweede kwetsbaarheid (CVE-2023-22797) kan worden gebruikt voor het omleiden naar andere pagina's (open redirect) bij het gebruik van niet gevalideerde externe gegevens in de redirect_to-handler. De overige 4 kwetsbaarheden leiden tot een denial of service door het creƫren van een hoge belasting op het systeem (voornamelijk door de verwerking van externe gegevens in inefficiƫnte en langdurige reguliere expressies).
Bron: opennet.ru
