资讯频道 → 编程语言
阅读更多

3顶
2踩

编程语言

转载新闻 Rails 再爆 SQL 注入漏洞，影响全系产品

2012-06-13 16:54 by 副主编 wangguo 评论(2) 有4691人浏览
rails ruby sql 漏洞
本月初 Rails 爆出了一个 SQL 注入漏洞 （CVE-2012-2661），版本涉及 3.0 以及之后的版本，而今天又新发现一个 SQL 注入漏洞 CVE-2012-2695，该漏洞影响所有版本的 Rails ，已经修复的版本是 3.2.6、3.1.6和3.0.14。

使用如下代码会导致此漏洞： 
Post.where(:id => params[:id]).all

可以改为： 
Post.where(:id => params[:id].to_s).all

修复版本下载：

3
顶
2
踩
评论 共 2 条 请登录后发表评论
2 楼 neodoxy 2012-06-15 15:17
Rails 3.0.14 breaks mysql adapter
https://github.com/rails/rails/issues/6717
升级到3.0.15吧
1 楼 ray_linn 2012-06-14 13:11
成筛子了都

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • Ruby On Rails代码执行漏洞(CVE-2020-8163)技术分析与研判防护

    RubyonRails5.0.1之前版本存在代码注入漏洞。远程攻击者可利用该漏洞发送特制请求执行任意代码。参考https//github.com/QianliZLP/CVE-2020-8163-即可。RubyonRails是Rails团队的一套基于Ruby语言的开源Web应用框架...

  • zen-rails-security-checklist：Ruby on Rails应用程序的安全预防措施清单

    Zen Rails安全清单概要本文档提供了开发Ruby on Rails应用程序时要实施的安全措施的不一定全面的列表。 它旨在用作快速参考，并最大程度地减少开发人员健忘造成的漏洞。 它并不能替代开发人员有关安全编码原则以及...

  • Rails 3爆SQL注入漏洞

    Ruby on Rails近日爆出了一个关键的漏洞，该漏洞允许攻击者在数据库服务器上执行SQL命令，比如，攻击者可以发起SQL注入攻击来读取未经授权的机密信息。目前该漏洞已修复，可通过文章最后的链接下载修复版本。这是...

  • 漏洞分析丨看我如何发现Github企业版程序SQL注入漏洞并获得5000美刀赏金

    通过下载其试用版本软件进行分析，我花了一周时间，发现了其中存在的SQL注入漏洞，并获得了5000美元漏洞赏金。 Github企业版VM环境安装之后的效果如下： 现在，Github搭建完成，接下来就...

  • Rails框架再爆严重安全漏洞

    Ruby on Rails近日被发现了两个新的安全漏洞。 1.CVE-2013-0156 该漏洞存在于Action Pack模块的参数解析代码中，允许攻击者绕过认证系统，注入并执行任意SQL代码，或...

  • SQL注入式攻击

    <!-- .ke-icon-code {width:16px; height:16px} ...所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的

  • Spring MVC防御CSRF、XSS和SQL注入攻击

    本文说一下SpringMVC如何防御CSRF(Cross-site request forgery跨站请求伪造)和XSS(Cross ... MVC3、Rails、Django等都已经支持自动在涉及POST的地方添加Token（包括FORM表单和AJAX POST等），似乎是一

  • Http基础二 Web安全简介 SQL注入 XSS CSRF(token)

    参考Web安全之SQL注入攻击技巧与防范总结 XSS 与 CSRF 两种跨站攻击CSRF的攻击与防御CSRF 攻击的应对之道 一、SQL注入 用Web网站中常用的会员登录系统来做一个场景实例。如果输入正确的用户名 plhwin 和密码 ...

  • web安全概述-SQL注入总结

    Web 安全概要 第三方内容：广告插件·...Web开发框架：Django/Rails/ThinkPHP Web服务器语言：PHP/JSP/.NET Web容器：Apache/IIS/Nginx/Tomcat 存储：数据库存储/内存存储/文件存储 操作系统：Linux/Windows ...

  • 网站安全 Spring MVC防御CSRF、XSS和SQL注入攻击

    本文说一下SpringMVC如何防御CSRF(Cross-site request...对CSRF来说，其实Spring3.1、ASP.NET MVC3、Rails、Django等都已经支持自动在涉及POST的地方添加Token（包括FORM表单和AJAX POST等），似乎是一个tag的事情，...

  • GitLab 不受 Rails 安全漏洞 CVE-2014-3483 影响

    昨天 Rails 框架发布了一个关于 SQL 注入安全方面的建议：security advisory for SQL injection vulnerability CVE-2014-3483. GitLab 官方经过测试发布消息称：GitLab 不受该漏洞影响。 CVE-2014-3483 影响那些使用...

  • 【Ruby on Rails】2021 OWASP TOP 10 的安全加固建议

    本文讲讲 2021 版 OWASP TOP 10 在 Rails 项目中的优化加固方案。

  • java 参数化sql_sql server - 参数化SQL IN子句

    sql server - 参数化SQL IN子句如何参数化包含带有可变数量参数的IN子句的查询，如下所示？SELECT * FROM TagsWHERE Name IN ('ruby','rails','scruffy','rubyonrails')ORDER BY Count DESC在此查询中，参数的数量...

  • 只需要用一张图片素材文档选择器.zip

    只需要用一张图片素材文档选择器.zip

  • 浙江大学842真题09-24 不含答案 信号与系统和数字电路

    浙江大学842真题09-24 不含答案 信号与系统和数字电路

  • 无标题baci和jbaci

    无标题baci和jbaci

  • 完整的雷达系统仿真程序，完整的雷达系统仿真程序 matlab代码.rar

    1.版本：matlab2014/2019a/2024a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。 替换数据可以直接使用，注释清楚，适合新手

  • 实体商品销售源码最新优化.zip

    实体商品销售源码最新优化.zip

  • 戴尔存储MD1400机柜维护操作与安全指导

    内容概要：本文档详细介绍了戴尔存储MD1400机柜的安全注意事项、电源指示灯解释、故障排除方法以及硬件维护步骤，包括卸下和安装直流电源设备、硬盘驱动器和背板的具体操作流程。 适用人群：IT运维人员、数据中心管理员和技术支持工程师。 使用场景及目标：在维护和管理戴尔存储MD1400机柜时作为参考指南，确保正确安装和故障排查，避免安全隐患和设备损坏。 其他说明：文档提供了丰富的图文指导，帮助使用者更好地理解和执行相关操作。

  • PyClass 课程计划.zip

    PyClass 课程计划Noisebridge Python 课程每周一晚上 7 点至 9 点（太平洋时间）在旧金山 Noisebridge 二楼电子室举行。自 2024 年 8 月起，该课程目前暂停。请参阅 wiki 页面了解更多信息。本课程免费！如果您希望捐款，请捐赠给 Noisebridge。建议捐款15 美元、50 美元、200 美元以上建议每月捐款每月 10 美元、20 美元、40 美元、80 美元以上所有 Python 课程均遵循Noisebridge 反骚扰政策、 Noisebridge 冲突解决指南和 recurse.org 社交规则课后，我们欢迎您提供反馈！ 在此提交表格内容课程课程描述新生阅读迭代次数Noisebridge Python 课程至少早在 2015 年就已经存在，拥有许多不同的讲师和版本。从 2017 年到 2018 年，该课程似乎由Jared Garst负责。（？）。从 2023 年到 2024 年，该课程由Travis Briggs负责。如果您有其他关于此类历史的信息想要分享，请在此处创建 PR、

Global site tag (gtag.js) - Google Analytics