偵測

Rails 大量指派

high Web App Scanning Plugin ID 112808

語系：

概要

Rails 大量指派

說明

Ruby On Rails 是一款流行架構，用於構建以模型-檢視-控制器 (MVC) 架構模式為基礎的 Web 應用程式。

當應用程式自動執行要求參數和模型屬性之間的對應時，會產生大量指派弱點。攻擊者可利用此弱點來修改不應暴露給最終使用者的內部屬性，還可以造成多種影響，如取得特權或洩漏敏感資訊，視應用程式的邏輯而不同。

解決方案

應用程式應透過 attr_accessible 方法，使用參數的明確允許清單來控制屬性的存取權。

另請參閱

https://cheatsheetseries.owasp.org/cheatsheets/Mass_Assignment_Cheat_Sheet.html

https://guides.rubyonrails.org/v3.2.9/security.html#mass-assignment

https://stephensclafani.com/2010/01/04/ruby-on-rails-secure-mass-assignment/

Plugin 詳細資訊

嚴重性: High

ID: 112808

類型: remote

已發布: 2021/6/18

已更新: 2023/8/29

掃描範本: api, basic, full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.2

CVSS v2

風險因素: Medium

基本分數: 6.4

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: High

基本分數: 8.2

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N

CVSS 評分資料來源: Tenable

參考資訊