国产精品一区二区三区69堂_无码国产孕妇一区二区免费AV_精品永久中文AV免费_产国视频精品搜索在线

Ruby on Rails近日爆出了一個關鍵的漏洞，該漏洞允許攻擊者在數(shù)據(jù)庫服務器上執(zhí)行SQL命令，比如，攻擊者可以發(fā)起SQL注入攻擊來讀取未經(jīng)授權的機密信息。目前該漏洞已修復，可通過文章最后的鏈接下載修復版本。
這是由于ActiveRecord處理嵌套查詢參數(shù)的方式所致，攻擊者可以使用特定的請求，向應用程序的SQL查詢中注入某些形式的SQL語句。

比如，受影響的代碼可以直接傳遞請求參數(shù)到ActiveRecord類中的where方法，如下：

    Post.where(:id => params[:id]).all 

攻擊者可以發(fā)起一個請求，導致params[:id]返回一個特定的哈希值，從而使WHERE從句可以查詢任意數(shù)據(jù)表。

受影響的版本：3.0.0及之后的所有版本

未受影響的版本：2.3.14

修復版本下載：

• Rails 3.2.5
• Rails 3.1.5
• Rails 3.0.13