Rails 3.2.12がリリースされました｜TechRacho by BPS株式会社

Ruby on ails 3.2.12がリリースされました。詳細 環境によっては重大なセキュリティFIXが含まれているので、必ず確認しましょう。 修正された脆弱性 attr_protectedの脆弱性が修正されました。 attr_protectedは、POSTパラメータなどから一括で値をセットする際に、許可しないカラムをブラックリスト登録する機能です。 たとえばユーザ情報を編集する際、is_adminというカラムをユーザが（POSTパラメータをいじって）勝手に上書きしたら、非常にまずいですよね。 class User < ActiveRecord::Base attr_protected :is_admin end このようにattr_protectedを使えば、ユーザがPOSTパラメータでis_admin=1を渡したとしても、無視されます（以下のような警告がログに出力されます）。 WAR

[invent]

Rails 3.2.12がリリースされました | TechRacho

[kitokitoki]

attr_protected