RailsのSQLインジェクション脆弱性 - てきとうなメモ

RailsのSQLインジェクション脆弱性 - てきとうなメモ

Rails SQL injection vulnerability: hold your horses, here are the facts – Phusion Corporate BlogP...概要を表示 Rails SQL injection vulnerability: hold your horses, here are the facts – Phusion Corporate BlogPhusion Corporate Blog Let Me Github That For You | Lands of Packets CVE - CVE-2012-5664 (under review) User.find_by_name('foo', :select => 'id, name') とやると、 select id, name from users where name = 'foo'; ってなるのだが、:selectの部分はエスケープ処理とかしていないので任意のSQLが書けてしまう。とはいうものの、そこは外部の入力を入れるべきではないので、普通そんなことはしない。 User.fin

• rails