ja ja ja en ja en ja en ja ja ja ja ja ja ja ja en en nl ja ja ja ja ja ja ja ja ja ja ja ja ja cv es es ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja ja
Riding Rails: Potential Circumvention of CSRF Protection in Rails 2.1
つまり、Rails2.1系で作られたwebサイトに対しては、content-typeをtext/plainにしておけばCSRFし放題ってこと・・・なはず。
次回のアップデートバージョンである2.1.3及び2.2.2ではこの脆弱製は解消されているようです。
それらがリリースするまでの暫定処置としてはconfig/initializers配下にhoge.rbのようなファイルを作り、下記のように書けばOKなようです。
Mime::Type.unverifiable_types.delete(:text)
willnet 2008-11-19 14:16
« open_id_authenticationがgithubでの管理… Railsアプリのソースを公開する際に役立つ… »
id:willnet はてなブログPro
べんりで楽しいwebサービスをたくさん作りたい
読者です 読者をやめる 読者になる 読者になる
@netwillnetをフォロー
失敗したテストのログだけを出力するぞ
iCARE Dev Meetup #34で登壇しました
`Thread.current[:hoge]`はスレッドローカル変数を参照していると思いきや実際はファイバーローカル変数だった