Ruby _json besoedeling

Dit is 'n opsomming van die pos https://nastystereo.com/security/rails-_json-juggling-attack.html

Basiese inligting

Wanneer 'n liggaam gestuur word, sal sommige waardes wat nie hashable is nie, soos 'n array, by 'n nuwe sleutel genaamd _json gevoeg word. Dit is egter moontlik vir 'n aanvaller om ook 'n waarde genaamd _json in die liggaam in te stel met die arbitrêre waardes wat hy wil. Dan, as die agterkant byvoorbeeld die waarheidsgetrouheid van 'n parameter nagaan, maar dan ook die _json parameter gebruik om 'n aksie uit te voer, kan 'n magtiging oorgang uitgevoer word.

{
"id": 123,
"_json": [456, 789]
}

Verwysings

• https://nastystereo.com/security/rails-_json-juggling-attack.html