Ruby on Rails 7.0.4.1、6.1.7.1 和 6.0.6.1 框架的修正更新已发布，修复了 6 个漏洞。 最危险的漏洞 (CVE-2023-22794) 可能导致在 ActiveRecord 中处理的注释中使用外部数据时执行攻击者指定的 SQL 命令。 该问题是由于注释中的特殊字符在存储到 DBMS 之前缺乏必要的转义而引起的。
第二个漏洞（CVE-2023-22797）可应用于在redirect_to处理程序中使用未经验证的外部数据时转发到其他页面（开放重定向）。 其余 4 个漏洞由于在系统上产生高负载而导致拒绝服务（主要是由于以低效且长时间运行的正则表达式处理外部数据）。
来源： opennet.ru