Опубликованы корректирующие обновления фреймворка  Ruby on  Rails 7.0.4.1, 6.1.7.1 и 6.0.6.1, в которых устранено 6 уязвимостей. Наиболее опасная уязвимость (CVE-2023-22794) может привести к выполнению заданных атакующим SQL-команд при использовании внешних данных в комментариях, обрабатываемых в ActiveRecord. Проблема вызвана отсутствием необходимого экранирования спецсимволов в комментариях перед их сохранением в СУБД...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=58519

• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 13:20 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,хрю, 13:28 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 13:53 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,хрю, 14:28 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Порнушник, 15:56 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Бывалый смузихлёб, 16:22 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 16:57 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 14:07 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,хрю, 14:25 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Порнушник, 15:57 , 20-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,mos87, 13:37 , 20-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вечно недовольный аноним, 13:40 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Васян, 13:46 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 13:55 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Васян, 15:16 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 15:58 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вечно недовольный аноним, 15:21 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 15:52 , 20-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 00:11 , 21-Янв-23
          • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 01:15 , 21-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 10:12 , 21-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 15:57 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,хрю, 14:33 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Бывалый смузихлёб, 16:32 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,хрю, 16:02 , 22-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Бывалый смузихлёб, 16:35 , 24-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,ShpurloS, 16:04 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 16:55 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Petya, 20:23 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 23:36 , 20-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 00:15 , 21-Янв-23
        • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 01:11 , 21-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 14:09 , 20-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 16:00 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 22:18 , 20-Янв-23
    • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 01:13 , 21-Янв-23
      • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 08:44 , 21-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 16:58 , 20-Янв-23
• В Ruby on Rails устранена уязвимость, допускающая подстановк...,Аноним, 19:56 , 20-Янв-23
  • В Ruby on Rails устранена уязвимость, допускающая подстановк...,Вы забыли заполнить поле Name, 01:18 , 21-Янв-23

> ActiveRecord
> Проблема вызвана отсутствием необходимого экранирования

Но как, Бэрримор?

Подросло поколение не знающих, что такое SQL инъекции? Они же бичЪ php.

помню в нулевые чуть ли не каждый второй сайт на пыхе имел это. Проверять можно было тупо подставляя апостроф в конец айдишника урла, типа news.php?id=123'. Обычно приводило к ошибкам mysql и headers already sent. Далее опционально можно было вводить остальную часть запроса, на античате выкладывали готовые методички, как действовать дальше в зависимости от ответа сервера.

20 лет назад, наспор ломал любой порнушный сайт :-))) ибо они были все написаны студентами на 3 php в понятно каком стиле.

Так вот кто мне сайт в 2002 году сломал? Ирод, окаянный!

вот из-за кого с тех пор количество годных прон-сайтов в рунете сильно поубавилось!

я в 2002 году начинал писать на php, повсеместно уже был php4, php3 было найти не так просто :) проще сайты на perl было найти :)

Кажется, кто-то не вкурил, что такое ActiveRecord и об чём был пост.

В рельсах реализация шаблона ActiveRecord, называется, внезапно, ActiveRecord.

Раз они такие умные чего дыру у себя сделали тогда? Не нужны нам эти ваши руби.

Little Bobby Tables strikes again.

зато Ruby крутой, для ценителей ёпт.

А что полезного написано с РоРом кроме дисковода из соседней новости? Я думал вебом управляет питон и вордпресс, помогите просветиться.

GitHub пойдёт?

Twitch, SoundCloud, Airbnb......

Кто-то в трезвом уме пользуется GitHub-ом?!

Так, немного, 70 миллионов всего... Вот лохи, правда? Зашли бы на опеннет, тут бы им быстро и авторитетно растолковали всю глубину их невежества...

И сколько из 70 Лямов там Гуанахуато на жс каком-нибудь или зеркал?

А гитхаб уже хакнули?

Вроде как их уже хакали по рельсам.

Гитхаб в 2012 эпично хакнули залив пулл-реквест в репу РоРа с исправлением эксплойта, благодаря которому хак был возможен.
https://arstechnica.com/information-technology/2012/03/hacke.../

> Гитхаб в 2012 эпично хакнули залив пулл-реквест в репу РоРа с исправлением
> эксплойта, благодаря которому хак был возможен.
> https://arstechnica.com/information-technology/2012/03/hacke.../

Да, помню эту историю, Хомяков красавчик.

Да https://www.opennet.dev/opennews/art.shtml?num=33268

github enterprise жрет как в не себя
SoundCloud во всю на go перешёл

Не знаю как сейчас, но вроде одно время сайт нетфликс был на рельсе (остатки былого https://github.com/Netflix/fast_jsonapi). В одно время рельса была прям жутко популярна.

> В одно время рельса была прям жутко популярна.

В одно, очень небольшое время. Но оно показало, насколько заказчики в среднем ослы - без каких-либо внятных обоснований, когда рубин-на-рельсах был на слуху, требовали пилить бэк именно на нём, а не на каком-то там пыхе или питоне
В итоге, многие сейчас в поту бегают и ищут хоть кого-то на поддержку своих говносерверов

Складывается ощущение, что энная группа лиц или ИТ-контор специально предварительно раскурила р-н-р, после - пустила мощный медийный шум и срубила очень славные деньги на разработке на этом, пока остальные только расшевеливались в изучении этих отходов, а самые денежные и модные заказчики - уже требовали срочно забрать все их деньги и сделать хоть что-то на этом б-жественном непойми чём.
Ну а то что по всяким хренабрам и его последователям славный шум разошёлся - так такова участь придатков западных инфоканалов. Они всегда будут лишь догоняющими холопами, а заказчики их - влезающими в д.мо по самые уши, ведь никто из адептов-пейсателей восторженных статеек по теме великого и крутого рубина-на-рельсах абсолютно ни за что не отвечает в плане издержек конечного заказчика из-за рубина, внезапно превратившегося в тыкву

>> Но оно показало, насколько заказчики в среднем ослы

Почему ослы? Им надо быстро выйти на рынок и занять нишу и получить инвестиции, что будет потом и будет ли это потом дело десятое. В своё время рельса была в этом деле тру. Ниша занята, инвестиционное быбло получено, можно нанимать нормальных разрабов, думать и пилить.  

>>> Но оно показало, насколько заказчики в среднем ослы
> Почему ослы? Им надо быстро выйти на рынок и занять нишу и
> получить инвестиции, что будет потом и будет ли это потом дело
> десятое. В своё время рельса была в этом деле тру. Ниша
> занята, инвестиционное быбло получено, можно нанимать нормальных разрабов, думать и пилить.

Они бы это и с супер развитым пыхом могли запросто, но там даже не ниша, а тупо разработка под заказ и конечный результат участников вообще не волнует
А по рубину на рельсах - не было ничего, кроме пачки влажных розовых статеек на х*бре

Redmine

Мастодон.

Навскидку Github, Gitlab, Stripe, Zendesk, Upwork, Kickstarter, Mastodon, Twitter, Netflix. Много где используется. Смотрел статистику стартапов-единорогов(которые выросли в итоге в миллиардные бизнесы) из долины и на каком стеке изначально они поднимались. Так там добрая половина проектов была именно на RoR. не пхп, не питон, а именно рельсы, меня это удивило.

Twitter разве не на скале?

Его потом кусками переписывали на микросервисы на Скале, изначально он на рельсах работал.

> Его потом кусками переписывали на микросервисы на Скале, изначально он на рельсах
> работал.

Значит надо так и писать, что использовался.

Ну вот нахрена устранили, ведь так удобненько было!

Поезд сошёл с рельс. Быстро хайп прошёл. Лозунг программист дороже железа забыт. Вот так вот сынки.

> Лозунг программист дороже железа забыт.

ну да.... То то сейчас по рейтингам популярности питон на первом месте, хотя ни эффективности в скорости написания кода в сравнении с Руби, ни эффективности выполнения не имеет.

>> Лозунг программист дороже железа забыт.
> ну да.... То то сейчас по рейтингам популярности питон на первом месте,
> хотя ни эффективности в скорости написания кода в сравнении с Руби,
> ни эффективности выполнения не имеет.

Для питона куча биндингов и либ. А когда дело доходит до цены за ресурсы, то с него уходят на другие инструменты.

> Для питона куча биндингов и либ. А когда дело доходит до цены за ресурсы, то с него уходят на другие инструменты.

Совершенно верно, питону в вебе не место. Хотя, сложно вообще найти применение питону кроме как какие-то скриптики конфигурирования чего-то или копирования файлов

Не знаю Ruby и шаблон ActiveRecord, но предпочитаю prepared statement  экранированию.
Подготовленные запросы заведомо более безопасны, чем экранирование

Руби (РоР) любят за понятный человеку ближе синтаксис.

> Руби (РоР) любят за понятный человеку ближе синтаксис.

У тебя syntax error

Руби (РоР) любят за понятный человеку ближе синтаксис end

Поправил, не благодари.