CVE-2012-2661

सारांश

# रूबी ऑन रेल्स में Active Record घटक रूबी ऑन रेल्स 3.0.x (3.0.13 से पहले), 3.1.x (3.1.5 से पहले) और 3.2.x (3.2.4 से पहले) में Active Record घटक, किसी ActiveRecord क्लास में `where` विधि में अनुरोध डेटा के पारित होने को उचित रूप से लागू नहीं करता है, जो दूरस्थ हमलावरों को नेस्टेड क्वेरी पैरामीटरों के माध्यम से कुछ SQL इंजेक्शन हमले करने की अनुमति देता है, जो अनपेक्षित पुनरावृत्ति का लाभ उठाते हैं। यह CVE-2012-2695 से संबंधित एक मुद्दा है।

स्रोत

• -CVE-2012-2661-ActiveRecord-SQL-injection-PoC

  CVE-2012-2661 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Ruby on Rails ActiveRecord में SQL इंजेक्शन कमजोरी है। इसमें हमले के वेक्टर को प्रदर्शित करने वाला मलय भाषा में एक लेख शामिल है।