Uočeno je nekoliko propusta u programskom paketu rubygem-activeresource koji se koristi za uklapanje web resursa u klase. Jedan od propusta se javlja pri obradi "X-Requested-With" zaglavlja, a ostali su pronađeni u datoteci "actionpack/lib/action_view/template/resolver.rb" i "mail_to_helper". Propusti se mogu iskoristiti udaljeno za proizvoljno umetanje SQL, HTML i skriptnog koda, zaobilaženje postavljenih ograničenja i CSRF napad podmetanjem posebno oblikovanih datoteka. Korisnicima se preporuča korištenje najnovije inačice.

U programskom paketu rubygem-actionpack, namijenjenom upravljanju paketima te pisanim u programskom jeziku Ruby, otkriveno je nekoliko sigurnosnih propusta koje mogu iskoristiti udaljeni napadači. Neki do propusta su vezani uz "actionpack/lib/action_view/template/resolver.rb" i "mail_to_helper", a posljedica su nedovoljnih provjera i XSS ranjivosti. Iskorištavanje propusta može rezultirati umetanjem proizvoljnog programskog koda, CSRF (eng. cross-site request forgery) napadom i zaobilaženjem postavljenih ograničenja. Savjetuje se primjena dostupne nadogradnje.

Ispravljeno je nekoliko nedostataka u programskom paketu rubygem-activemodel. Radi se o paketu koji pruža podršku u razvoju klasa u Rails okruženju. Jedan od otkrivenih nedostataka je XSS ranjivost u "mail_to_helper", a rezultira umetanjem proizvoljnog HTML i skriptnog koda pomoću posebno oblikovanih "name" i "email" vrijednosti. Ostali nedostaci su posljedica nedovoljnih provjera ulaznih parametara u nekoliko programskih komponenti, a mogu se iskoristiti za zaobilaženje postavljenih ograničenja, umetanje proizvoljnog SQL koda i CSRF napad. Korisnici se potiču na korištenje najnovije inačice.

U radu programskog paketa rubygem-activerecord otkriveni su višestruki sigurnosni propusti. Radi se o paketu koji implementira ActiveRecord model za ORM (eng. Object-relational mapping). Većina propusta je posljedica nedovoljno postavljenih ograničenja i provjera ulaznih parametara u nekoliko programskih komponenti. Spomenuti nedostaci imaju za posljedicu zaobilaženje postavljenih ograničenja ili umetanje proizvoljnog SQL programskog koda s posebno oblikovanim paketima. Jedan od propusta je XSS (eng. cross-site-scripting) ranjivost u "mail_to_helper" koja se također može iskoristiti udaljeno. Svi korisnici se potiču na korištenje najnovije inačice.

U programskom paketu rubygem-actionmailer otkriveno je nekoliko sigurnosnih nedostataka. Spomenuti paket omogućuje lakšu provjeru i isporuku poruka elektroničke pošte. Neki od nedostataka su posljedica nepravilno postavljenih ograničenja i provjera u, primjerice, datoteci "actionpack/lib/action_view/template/resolver.rb". Udaljeni napadač ih može iskoristiti podmetanjem posebno oblikovanih paketa za zaobilaženje ograničenja, umetanje proizvoljnog SQL koda ili CSRF napad. Korisnicima se preporuča čitanje izvorne preporuke za više informacija o preostalim propustima te korištenje najnovije inačice.

Idi na vrh