CVE-2017-17917

总结

Ruby on Rails 5.1.4及更早版本中'where'方法存在SQL注入漏洞，允许远程攻击者通过'id'参数执行任意SQL命令。注意：供应商对此问题提出异议，因为文档指出该方法不适用于不可信输入。

• rails-cve-2017-17917研究

  CVE-2017-17917 在 Rails 中的 SQL 注入教育演示，包含逐步复现以及使用参数化查询的安全编码缓解措施。