检测

Rails 批量分配

high Web App Scanning 插件 ID 112808

语言：

简介

Rails 批量分配

描述

Ruby On Rails 是一种常用的框架，用于基于模型视图控制器 (MVC) 架构模式构建 Web 应用程序。

当应用程序自动执行请求参数与模型属性之间的映射时，会出现批量分配漏洞。攻击者可利用此漏洞修改内部属性，这些属性不应暴露给最终用户，并且可产生多种影响（取决于应用程序逻辑），例如特权获得或敏感信息泄露。

解决方案

应用程序应通过 attr_accessible 方法，并使用明确的参数白名单来控制对属性的访问。

另见

https://cheatsheetseries.owasp.org/cheatsheets/Mass_Assignment_Cheat_Sheet.html

https://guides.rubyonrails.org/v3.2.9/security.html#mass-assignment

https://stephensclafani.com/2010/01/04/ruby-on-rails-secure-mass-assignment/

插件详情

严重性: High

ID: 112808

类型: remote

发布时间: 2021/6/18

最近更新时间: 2023/8/29

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 4.2

CVSS v2

风险因素: Medium

基本分数: 6.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: High

基本分数: 8.2

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N

CVSS 分数来源: Tenable

参考资料信息