CVE-2016-6317
Beschrijving NL
Action Record in Ruby on Rails 4.2.x vóór 4.2.7.1 houdt niet goed rekening met verschillen in parameterafhandeling tussen de Active Record-component en de JSON-implementatie, waardoor externe aanvallers beoogde databasequerybeperkingen kunnen omzeilen en nulcontroles kunnen uitvoeren of ontbrekende clausules kunnen activeren via een vervaardigd verzoek, zoals blijkt uit bepaalde "[Nil]" -waarden, een gerelateerd probleem met CVE-2012-2660, CVE-2012-2694 en CVE-2013-0155.
Origineel (Engels) tonen
Action Record in Ruby on Rails 4.2.x before 4.2.7.1 does not properly consider differences in parameter handling between the Active Record component and the JSON implementation, which allows remote attackers to bypass intended database-query restrictions and perform NULL checks or trigger missing WHERE clauses via a crafted request, as demonstrated by certain "[nil]" values, a related issue to CVE-2012-2660, CVE-2012-2694, and CVE-2013-0155.