Helsus Jan 29 2013 at 15:34

Критическая уязвимость в Rails. Опять

1 min

12K

Ruby on Rails*

Translation

+26

Comments 13

nick4fake Jan 29 2013 at 15:56

Что-то я не понимаю, разве об этой уязвимости на хабре уже не писали (недели две назад)?

Не оно же? Или это новая уязвимость?
habrahabr.ru/post/165343/

A1lfeG Jan 29 2013 at 15:58

Вроде бы новая.

nick4fake Jan 29 2013 at 16:05

Просто меня смущает схожесть:

<< Чуть подробнее. Не так давно многие обратили внимание на то что рельсы по умолчанию принимают не только x-www-form-urlencoded параметры, но и XML/JSON. А XML внутри себя принимает также такой тип данных как YAML

<< Rails поддерживают несколько бэкэндов для парсинга JSON. Один из бэкэндов включает в себя трансформирование JSON в YAML через YAML Parser

Неужели они в rails дважды ошиблись, а после первого патча ошибка осталась?

UFO just landed and posted this here

nick4fake Jan 29 2013 at 16:11

А что насчет ветки 3.0.x?

А также этого:
<< Например, если у вас json с одинарными кавычками(что не позволено спецификацией JSON), то сейчас с этим будут проблемы.

UFO just landed and posted this here

TheShock Jan 29 2013 at 16:03

Странно, что опять не Chikey ))

MpaK999 Jan 29 2013 at 16:19

Да, но Егор был занят в этот раз «местью» разработчику Spree, ему не до Rails секурности было :))

Homakov Jan 31 2013 at 20:45

ну, уязвимость в старых версиях, скучно ) другое дело люди начали щас ломать rubygems/travis etc

мы с ryan помирились — вторую уязвимость я уже по почте ему сообщил )

aTei Jan 29 2013 at 23:35

2.3.x, 3.0.x не очень популярные версии, как мне кажется. Хотя статистики по версиям найти не удалось.

hazg Jan 30 2013 at 00:07

а вы сделаете bundle update после этой новости?

aTei Jan 30 2013 at 00:09

Не уловил связь.

hazg Jan 30 2013 at 00:31

ок.
>> 2.3.x, 3.0.x
вряд ли являются не популярными версиями.

Show the best of all time