资讯频道 → 编程语言
阅读更多

3顶
2踩

编程语言

转载新闻 Rails 再爆 SQL 注入漏洞，影响全系产品

2012-06-13 16:54 by 副主编 wangguo 评论(2) 有4699人浏览
rails ruby sql 漏洞
本月初 Rails 爆出了一个 SQL 注入漏洞 （CVE-2012-2661），版本涉及 3.0 以及之后的版本，而今天又新发现一个 SQL 注入漏洞 CVE-2012-2695，该漏洞影响所有版本的 Rails ，已经修复的版本是 3.2.6、3.1.6和3.0.14。

使用如下代码会导致此漏洞： 
Post.where(:id => params[:id]).all

可以改为： 
Post.where(:id => params[:id].to_s).all

修复版本下载：

3
顶
2
踩
评论 共 2 条 请登录后发表评论
2 楼 neodoxy 2012-06-15 15:17
Rails 3.0.14 breaks mysql adapter
https://github.com/rails/rails/issues/6717
升级到3.0.15吧
1 楼 ray_linn 2012-06-14 13:11
成筛子了都

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • Ruby On Rails代码执行漏洞(CVE-2020-8163)技术分析与研判防护

    RubyonRails5.0.1之前版本存在代码注入漏洞。远程攻击者可利用该漏洞发送特制请求执行任意代码。参考https//github.com/QianliZLP/CVE-2020-8163-即可。RubyonRails是Rails团队的一套基于Ruby语言的开源Web应用框架...

  • zen-rails-security-checklist：Ruby on Rails应用程序的安全预防措施清单

    Zen Rails安全清单概要本文档提供了开发Ruby on Rails应用程序时要实施的安全措施的不一定全面的列表。 它旨在用作快速参考，并最大程度地减少开发人员健忘造成的漏洞。 它并不能替代开发人员有关安全编码原则以及...

  • Rails 3爆SQL注入漏洞

    Ruby on Rails近日爆出了一个关键的漏洞，该漏洞允许攻击者在数据库服务器上执行SQL命令，比如，攻击者可以发起SQL注入攻击来读取未经授权的机密信息。目前该漏洞已修复，可通过文章最后的链接下载修复版本。这是...

  • 漏洞分析丨看我如何发现Github企业版程序SQL注入漏洞并获得5000美刀赏金

    通过下载其试用版本软件进行分析，我花了一周时间，发现了其中存在的SQL注入漏洞，并获得了5000美元漏洞赏金。 Github企业版VM环境安装之后的效果如下： 现在，Github搭建完成，接下来就...

  • Rails框架再爆严重安全漏洞

    Ruby on Rails近日被发现了两个新的安全漏洞。 1.CVE-2013-0156 该漏洞存在于Action Pack模块的参数解析代码中，允许攻击者绕过认证系统，注入并执行任意SQL代码，或...

  • SQL注入式攻击

    <!-- .ke-icon-code {width:16px; height:16px} ...所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的

  • Spring MVC防御CSRF、XSS和SQL注入攻击

    本文说一下SpringMVC如何防御CSRF(Cross-site request forgery跨站请求伪造)和XSS(Cross ... MVC3、Rails、Django等都已经支持自动在涉及POST的地方添加Token（包括FORM表单和AJAX POST等），似乎是一

  • Http基础二 Web安全简介 SQL注入 XSS CSRF(token)

    参考Web安全之SQL注入攻击技巧与防范总结 XSS 与 CSRF 两种跨站攻击CSRF的攻击与防御CSRF 攻击的应对之道 一、SQL注入 用Web网站中常用的会员登录系统来做一个场景实例。如果输入正确的用户名 plhwin 和密码 ...

  • web安全概述-SQL注入总结

    Web 安全概要 第三方内容：广告插件·...Web开发框架：Django/Rails/ThinkPHP Web服务器语言：PHP/JSP/.NET Web容器：Apache/IIS/Nginx/Tomcat 存储：数据库存储/内存存储/文件存储 操作系统：Linux/Windows ...

  • 网站安全 Spring MVC防御CSRF、XSS和SQL注入攻击

    本文说一下SpringMVC如何防御CSRF(Cross-site request...对CSRF来说，其实Spring3.1、ASP.NET MVC3、Rails、Django等都已经支持自动在涉及POST的地方添加Token（包括FORM表单和AJAX POST等），似乎是一个tag的事情，...

  • GitLab 不受 Rails 安全漏洞 CVE-2014-3483 影响

    昨天 Rails 框架发布了一个关于 SQL 注入安全方面的建议：security advisory for SQL injection vulnerability CVE-2014-3483. GitLab 官方经过测试发布消息称：GitLab 不受该漏洞影响。 CVE-2014-3483 影响那些使用...

  • 【Ruby on Rails】2021 OWASP TOP 10 的安全加固建议

    本文讲讲 2021 版 OWASP TOP 10 在 Rails 项目中的优化加固方案。

  • java 参数化sql_sql server - 参数化SQL IN子句

    sql server - 参数化SQL IN子句如何参数化包含带有可变数量参数的IN子句的查询，如下所示？SELECT * FROM TagsWHERE Name IN ('ruby','rails','scruffy','rubyonrails')ORDER BY Count DESC在此查询中，参数的数量...

  • 基于FPGA的四相八拍步进电机控制系统设计：集成交付、正反转、加速减速及调速功能

    内容概要：本文详细介绍了基于FPGA的四相八拍步进电机控制系统的开发过程。主要内容包括：1. 使用VHDL和Verilog编写LED显示屏驱动代码，用于显示角度、学号和姓名等信息；2. 实现步进电机的正反转控制，通过状态机管理相序变化；3. 开发加速减速控制模块，确保电机启动和停止时的平稳性；4. 设计调速功能，通过调节脉冲频率实现速度控制。此外，文中还讨论了调试过程中遇到的问题及其解决方案。 适合人群：对FPGA开发和步进电机控制感兴趣的电子工程师、嵌入式系统开发者以及相关专业的学生。 使用场景及目标：适用于需要高精度运动控制的应用场合，如工业自动化、机器人技术和精密仪器等领域。目标是帮助读者掌握FPGA控制步进电机的基本原理和技术细节。 其他说明：文中提供了详细的代码片段和调试经验分享，有助于读者更好地理解和应用所学知识。同时，作者还提到了一些实用技巧，如通过PWM调节实现多级变速，以及如何避免步进电机的共振问题。

  • Android开发：基于SQLite的日历备忘录记事本项目详解与实现

    内容概要：本文详细介绍了基于Android Studio开发的日历备忘录记事本项目，涵盖日历查看、添加备忘录、闹钟提醒和删除备忘录等功能。项目使用SQLite数据库进行数据存储，通过CalendarView、EditText、Button等控件实现用户交互，并利用AlarmManager和PendingIntent实现闹钟提醒功能。此外，项目还包括数据库的设计与管理，如创建DatabaseHelper类来管理数据库操作，确保数据的安全性和完整性。文章还探讨了一些常见的开发技巧和注意事项，如时间戳的使用、手势监听的实现等。 适用人群：适用于初学者和有一定经验的Android开发者，尤其是希望深入了解Android开发基础知识和技术细节的人群。 使用场景及目标：该项目旨在帮助开发者掌握Android开发的基本技能，包括UI设计、数据库操作、闹钟提醒机制等。通过实际项目练习，开发者能够更好地理解和应用这些技术，提升自己的开发能力。 其他说明：文中提到一些进阶任务，如用Room替换SQLite、增加分类标签、实现云端同步等，鼓励开发者进一步扩展和优化项目。同时，项目源码公开，便于学习和参考。

  • Matlab实现基于SVM-Adaboost支持向量机结合Adaboost集成学习时间序列预测的详细项目实例（含完整的程序，GUI设计和代码详解）

    内容概要：本文档详细介绍了一个基于SVM（支持向量机）和Adaboost集成学习的时间序列预测项目。该项目旨在通过结合这两种强大算法，提升时间序列预测的准确性和稳定性。文档涵盖了项目的背景、目标、挑战及其解决方案，重点介绍了模型架构、数据预处理、特征选择、SVM训练、Adaboost集成、预测与误差修正等环节。此外，文档还探讨了模型在金融市场、气象、能源需求、交通流量和医疗健康等多个领域的应用潜力，并提出了未来改进的方向，如引入深度学习、多任务学习、联邦学习等先进技术。 适合人群：具备一定机器学习基础的研究人员和工程师，特别是那些从事时间序列预测工作的专业人士。 使用场景及目标：①用于金融市场、气象、能源需求、交通流量和医疗健康等领域的复杂时间序列数据预测；②通过结合SVM和Adaboost，提升预测模型的准确性和稳定性；③处理噪声数据，降低计算复杂度，提高模型的泛化能力和实时预测能力。 其他说明：文档不仅提供了详细的理论解释，还附有完整的Matlab代码示例和GUI设计指导，帮助读者理解和实践。此外，文档还讨论了模型的部署与应用，包括系统架构设计、实时数据流处理、可视化界面、GPU加速推理等方面的技术细节。

  • #游戏之追逐奶酪123

    #游戏之追逐奶酪123

  • 威纶通触摸屏配方管理系统解析：宏程序、数据结构与UI设计

    内容概要：本文详细介绍了威纶通触摸屏配方管理系统的实现方法及其应用场景。首先，文章讲解了配方管理的基本概念和技术背景，强调了配方管理在工业自动化中的重要性。接着，通过具体的宏程序代码示例，展示了如何实现配方的保存、加载以及安全校验等功能。文中还提到配方数据结构的设计，如使用寄存器地址偏移来确保数据不冲突，并通过CSV文件格式方便地管理和维护配方数据。此外，文章深入探讨了UI设计方面的内容，包括动态图层技术和按钮交互效果的应用，使得用户界面更加友好和直观。最后，作者分享了一些实际项目中的经验和技巧，如文件操作的异常处理和宏指令调试方法。 适合人群：从事工业自动化领域的工程师和技术人员，尤其是对触摸屏配方管理系统感兴趣的读者。 使用场景及目标：适用于需要频繁切换设备参数的生产环境，如食品加工、注塑成型等行业。通过使用威纶通触摸屏配方管理系统，可以提高工作效率，减少人为错误，同时简化设备调试和维护流程。 其他说明：附带的工具包提供了完整的宏指令注释版、图库资源和调试工具，帮助用户更好地理解和应用该系统。

  • 张彩明-图形学简明教程 配书资源

    张彩明-图形学简明教程 PPT课件

  • 计算机术语.pdf

    计算机术语.pdf

Global site tag (gtag.js) - Google Analytics