CVE-2013-0155

सारांश

Ruby on Rails 3.0.x (3.0.19 से पहले), 3.1.x (3.1.10 से पहले) और 3.2.x (3.2.11 से पहले) Active Record घटक और JSON कार्यान्वयन के बीच पैरामीटर हैंडलिंग में अंतरों पर उचित रूप से विचार नहीं करता है, जो दूरस्थ हमलावरों को विशेष रूप से तैयार किए गए अनुरोध के माध्यम से इच्छित डेटाबेस-क्वेरी प्रतिबंधों को बायपास करने, NULL जाँच करने या लुप्त WHERE क्लॉज़ उत्पन्न करने की अनुमति देता है, जैसा कि कुछ "[nil]" मानों द्वारा प्रदर्शित किया गया है; यह CVE-2012-2660 और CVE-2012-2694 से संबंधित एक समस्या है।

• rails-exploit-cve-2013-0156PoC

  बूटस्ट्रैप किया गया Rails 3.2.10 रिमोट कोड शोषण CVE-2013-0156 का परीक्षण करने के लिए