I Ruby on Rails har en sårbarhet åtgärdats som tillåter SQL-injektion

Korrigerande uppdateringar för Ruby on Rails-ramverket 7.0.4.1, 6.1.7.1 och 6.0.6.1 har publicerats, som åtgärdar 6 sårbarheter. Den mest kritiska sårbarheten (CVE-2023-22794) kan leda till att SQL-kommandon från angriparen körs vid användning av externa data i kommentarer som hanteras i ActiveRecord. Problemet orsakas av bristen på nödvändig exekvering av specialtecken i kommentarer innan de sparas i databasen.

Den andra sårbarheten (CVE-2023-22797) kan användas för att genomföra vidarekoppling till andra sidor (öppen omdirigering) vid användning av obesiktade externa data i redirect_to-handlaren. De övriga 4 sårbarheterna leder till serviceavbrott på grund av hög belastning på systemet (främst på grund av hantering av externa data i ineffektiva och tidskrävande reguljära uttryck).

Källa: opennet.ru