Ruby _json pollution

यह एक सारांश है पोस्ट से https://nastystereo.com/security/rails-_json-juggling-attack.html

Basic information

जब एक बॉडी में कुछ मान भेजे जाते हैं जो हैशेबल नहीं होते जैसे कि एक एरे, उन्हें _json नामक एक नए कुंजी में जोड़ा जाएगा। हालाँकि, एक हमलावर के लिए बॉडी में _json नामक एक मान सेट करना भी संभव है जिसमें वह मनचाहे मान डाल सकता है। फिर, यदि बैकएंड उदाहरण के लिए एक पैरामीटर की सत्यता की जांच करता है लेकिन फिर _json पैरामीटर का उपयोग कुछ क्रिया करने के लिए करता है, तो एक प्राधिकरण बायपास किया जा सकता है।

{
"id": 123,
"_json": [456, 789]
}

संदर्भ

• https://nastystereo.com/security/rails-_json-juggling-attack.html