Aaron Patterson 氏による報告：

attr_protected メソッドにより、開発者は、ユーザーが割り当てをしてはならないモデル属性のブラックリストを指定することができます。特別に細工されたリクエストを使用して、攻撃者がこのを防御を回避し、保護されるべき値を変更する可能性があります。

影響するリリースを実行している全てのユーザーは、速やかにアップグレードするか回避策を取る必要があります。また、ユーザーは、attr_protected から、この攻撃に対して脆弱ではないホワイトリストメソッドの attr_accessible への切り替えを検討する必要があります。

検出

FreeBSD：Ruby Activemodel Gem -- attr_protected の回避（beab40bf-c1ca-4d2b-ad46-2f14bac8a968）

medium Nessus プラグイン ID 64667

変更ログが見つかりません