多个Rails应用程序中的RJS泄漏漏洞

Question

我遇到了以下有关多个Rails应用程序中RJS泄漏漏洞的博客文章。 Mike Hartl的书使用RJS。

使用RJS是否危险？ 问题是我链接到的博客文章缺少详细信息，我不理解。 有人可以详细说明问题是什么吗？

Answer 1

有关安全漏洞的博客条目必须在告诉内部人员足以解决（或利用）该问题的过程中，至少不能告诉脚本小子足以使他们毕业于黑客。

这篇文章讨论了js.erb文件，它们自动扩展了它们的authentication_tokens格式，以及当使用具有Accepts = text / javascript的HTTP命中时，将所有数据自动转储到JS中的动作。 入门级Rails不应做任何一件事情，因此，如果发布者将问题升级到Rails的工作人员，并且如果他们没有按下紧急按钮，那么您可能不必担心。