Ruby _json pollution

Reading time: 2 minutes

Questo è un riassunto del post https://nastystereo.com/security/rails-_json-juggling-attack.html

Informazioni di base

Quando si inviano nel corpo alcuni valori non hashable come un array, verranno aggiunti a una nuova chiave chiamata _json. Tuttavia, è possibile per un attaccante impostare nel corpo un valore chiamato _json con i valori arbitrari che desidera. Quindi, se il backend, ad esempio, controlla la veridicità di un parametro ma poi utilizza anche il parametro _json per eseguire un'azione, potrebbe verificarsi un bypass dell'autorizzazione.

{
"id": 123,
"_json": [456, 789]
}

Riferimenti

• https://nastystereo.com/security/rails-_json-juggling-attack.html