Ruby on Rails 框架 7.0.4.1、6.1.7.1 和 6.0.6.1 的修正更新已發布，其中修復了 6 個漏洞。 最危險的漏洞 (CVE-2023-22794) 可能導致在 ActiveRecord 中處理的註解中使用外部資料時執行攻擊者指定的 SQL 命令。 該問題是由於在將註釋保存到 DBMS 之前未對註釋中的特殊字元進行必要的轉義而引起的。
第二個漏洞（CVE-2023-22797）可應用於在redirect_to處理程序中使用未經驗證的外部資料時轉送至其他頁面（開放重定向）。 其餘4個漏洞由於系統負載過高而導致拒絕服務（主要是由於以低效且耗時的正規表示式處理外部資料）。
來源： opennet.ru