Ruby on Railsのfind_by_*メソッドにSQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩の日記
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ
小さなマイクロブログ『mio』を作っています - とある技術の備忘録
Ruby これは何？小規模のグループで緩くコミュニケーションを取るための、Twitterクローンなマイクロブログです。Rails製です。このGW中に作りました。予め決められたグループで運用することを想定しているため、twitterに比べるとFollow機能等がありません*1が、その分グループ運用に適した他の機能も加わっています。 Timeline Wiki - Show Wiki - Edit なぜ作った？大学の研究室で日々の成果や意見等をつぶやくことで、学生や教員間で進捗を管理しつつコミュニケーションを取り、良い研究室生活を送ろう、という目的のもとで作りました。研究室でなくとも、友人間のグループや小規模なプロジェクト等、色々な用途に使えるのではないかと思っています。 また、Rails3を使ってまともなWebアプリを作ってみたかったので、その学習も兼ねています。コードはこちら(github
TitaniumとAptanaが買収により統合へ － ＠IT
2011/01/19 モバイルやPC向けの統合アプリ開発フレームワーク「Titanium」を提供する米Appceleratorは1月18日、Eclipseベースの統合開発環境（IDE）の「RadRails」（Ruby on Rails向け）や「Pydev」（Python向け）を提供する米Aptanaを買収したと発表した。買収は1月7日に完了している。 Titaniumは、RIA（リッチ・インターネット・アプリケーション）と呼ばれるジャンルに属するオープンソースの開発フレームワーク。HTMLやCSS、JavaScript、Ruby、PythonといったWeb開発で使われる技術を使いながら、iPhoneやiPad、Androidといったデバイス向けのネイティブアプリケーション開発が行えるのが特徴。単一のコードベースで、PC、Webブラウザ、モバイルに各種プラットフォームに対応できる。Appce
進化したJRuby 1.6、間もなくリリースへ 業務系PaaSで注目のRails、JRubyのゆくえは？ − ＠IT
2011/01/12 JRubyコミュニティは1月11日、バージョン1.6.0の初のリリース候補版「JRuby 1.6.0 RC1」をリリースした。JRubyはJavaVM上のRuby実装で、Windowsサーバへのインストールが容易なことや、Google AppEngineでRuby on Railsを稼働させられることから、最近注目が集まっている。 JRuby 1.6はこれまでで最大のバージョンアップで、主要な機能は、 Ruby 1.9.2とのAPI互換 Cによる拡張機能のサポート（実験的実装） プロファイラの内蔵 RubyGems 1.4.2 など。Rubyの言語仕様への適合度をチェックする「RubySpec」による互換性は、1.8モードで99％、1.9モードで90％という。また、もともとJRuby開発にとって大きな達成目標だったRails互換という点では、他のRuby処理系よりも重
異常に興奮するやり方で！ Ruby まつもと氏 － ＠IT
「それ」でないと開かないドアがある ＠IT 教育に目覚めた、というわけではない。 まつもと 自分たちで先頭を切って教えようということにはなりませんが、そういう基準が必要な場合、自分たちに何かできることはあれば協力はしたいと思っています。 ＠IT われわれ＠ITも、アールラーニングとの協業で認定ビジネスに取り組みます（関連記事：＠ITとアールラーニング、「Rails技術者認定試験」で協力）。すでにRubyアソシエーションを設立して、Ruby認定試験を開始している関係者の1人として、Rails認定はどうご覧いただけていますか？ まつもと まつもと個人としては、Rubyが広まることも、Railsを使う人が増えてRubyが広まることも、それによって多くのエンジニアがハッピーになるのであれば望ましいことだと思っています。だから、私が役立つことであれば応援したいと思っています。私自身、Ruby認定試験
セールスフォース・ドットコム、RubyのPaaS事業者を2億ドルで買収
米セールスフォース・ドットコムは2010年12月8日（米国時間）、「Ruby on Rails」が利用できるPaaS（プラットフォーム・アズ・ア・サービス）「Heroku」を運営する米ヘロクを買収することで合意したと発表した。買収金額は2億1200万ドルで、2011年1月31日までに買収が完了する予定。 ヘロクは2007年に設立した企業。同社のHerokuは、プログラミング言語「Ruby」や同言語のアプリケーションフレームワーク「Ruby on Rails」を使ったアプリケーションがホストできるPaaSである。既に10万件以上のRubyアプリケーションが、Herokuの上で稼働している。 セールスフォースの会長兼CEO（最高経営責任者）であるマーク・ベニオフ氏はプレスリリースで、同社が力を入れているソーシャルアプリケーション分野やモバイルアプリケーション分野でRuby on Railsの人
コラム｜CBT/IBT 世界水準の試験運営｜プロメトリック
2024年03月01日 CBT運営代行会社の選び方は？必ずチェックしたい7つのポイント CBT 試験運営
Railsで携帯サイトを作るには – Ruby on Rails携帯サイト開発技法 - stnard.jp
Ruby on Rails携帯サイト開発技法 著者／訳者：伊藤 祐策 富田 陽介 三上 喜之 出版社：ソフトバンククリエイティブ( 2010-04-30 ) 大型本：312 ページ @yoshukiさんに献本していただきました。ありがとうございます。と言うわけで、書評を。 またもや端末識別番号問題 まず最初に残念な点を。最後の章でjpmobileを使わないで自前で機能を実装しているのですが、セッション管理に端末識別番号を利用してしまっています。これは高木さんがよく言われている由々しき問題で、エンジニアとしてはやってはいけないことのはずです。 ここまで破綻しているケータイID認証（簡単ログイン） on 高木浩光＠自宅の日記 せっかくその前の章でSession Fixationの話がでたのに、最後にそれを台無しにしてしまう内容は、少し残念でした。Railsで携帯サイト開発の初の本なのでよけ
GitHub - yuiseki/signin_with_twitter: rails2.3.5 sample of twitter oauth login using this plugin: http://github.com/mbleigh/twitter-auth
== Welcome to Rails Rails is a web-application framework that includes everything needed to create database-backed web applications according to the Model-View-Control pattern. This pattern splits the view (also called the presentation) into "dumb" templates that are primarily responsible for inserting pre-built data in between HTML tags. The model contains the "smart" domain objects (such as Acco
Ruby on Railsの「えせMVC」の弊害
先日のエントリーでも少し触れたが、Ruby on Railsの最大の問題点は、それが持つ「一見そのフレームワークがMVCの形をとりながら、MVCの最も大切なところを外している『えせMVC』である」点にある。MVC（Model View Controller）がなぜ必要かを根底の部分でちゃんとと意識せずにRailsアプリケーションを作ると、後々ひどい目に会うので注意が必要である。 その意味では「RailsでMVCを学ぶ」などもっての他だし、「JavaにもRailsと同じようなフレームワークを作って業務用アプリの開発を効率化しよう」などという発想もとても危険である。 ということで、今日はまずはMVCの解説から。 MVCの発想の根底には、「モジュール化と情報の隠蔽により、プログラムがスパゲッティ化するの（コード間の相互依存関係が複雑に入り込んでしまってにっちもさっちも行かない状態になること）を避
XSS対策パッチを当ててもRailsに残る脆弱性 - 岩本隆史の日記帳（アーカイブ）
どのような脆弱性か 先日書いた「Rails 2系のXSS脆弱性がRuby 1.9では影響なしとされる理由」という記事に、奥さん（id:kazuhooku）より、下記のブックマークコメントをいただきました。 たとえばブログの場合、誰かに壊れたUTF-8を含むコメントを書き込まれちゃうと、そのブログ全体にアクセスできなくなる(最新コメント一覧に出るから)んじゃないか。XSSが発生しないだけで脆弱性があることは変わらない はてなブックマーク - kazuhookuのブックマーク / 2009年9月26日 まったくおっしゃる通りです。アプリケーションの構成によっては、サービス自体が提供できなくなる可能性があります。 このような脆弱性を何とよぶのでしょうか。すでに統一的な呼称があるのかどうか、私は知りません。サービス不能という観点からは広義のDoS脆弱性といえるのかもしれません。 追記（2009-0
TechCrunch | Startup and Technology News
Tech sovereignty has become a looming priority for a number of nations these days, and now, with the demand for compute power at its highest level yet, a startup working… It’s not the sexiest of subject matters, but someone needs to talk about it: The CFO tech stack — software used by the chief financial officers of the world — is ripe for disruption. That’s according to Jonathan Sanders, CEO and
twitterがrubyからscalaへスイッチ - huixingの日記
twitterが2007年後半に先進的なユーザーに急速に受け入れられて以後、そのruby on railsアーキテクチャーはたびたびトラブルに見舞われてきた。しかし2008年中盤にtwitterがこっそり一部コードをscalaにポートして以来トラブルはなくなった。Twitterの開発者であるAlex Payneによれば普通に考えられているRuby on RailsやPHPやPythonなどいわゆるアジャイルな言語はすばやい変化に対応するには見合っているが非同期的プロセスのような力仕事には、スイス連邦工科大学ローザンヌ校のマーティン・オダースキーMartin Oderskyにより開発されたscalaが合っているという。2007年のある時点でtwitterにおけるrubyベースのメッセージ・キュー・システムが増えるプロセスに対応できずに壁にぶちあたったことに気付いた。2008年中盤にはメッセー
RailsとMerbの合流についてあれこれ - アンカテ
これって、ある意味、オープンソースプロジェクトの凄みが見えてくるすごく衝撃的なニュースです。そこで、なるべく、IT業界に関係ない人にもわかるように、このニュースの意味をいくつかの側面から考えてみたいと思います。 ビジネスではあり得ないことが起きた まず何が起きたのかひとことで言うと、RailsというプロジェクトがMerbというプロジェクトと合流して、次のバージョンを共同で開発することを発表したということです。 Rails 3高速化Merb技術採用、Rails 2非互換の可能性 | エンタープライズ | マイコミジャーナル 簡単に言えば、Windowsの次期バージョンをMac OSXベースで開発することになったようなものかな。 Ruby on Railsは、「RubyのWebアプリ開発用フレームワーク」というジャンルで一番メジャーなソフトです。その分野に関係する人ならば誰も知らない人がいない
SKIP正式公開版(ver.1.0.0)をリリース | 社内SNSといえば、オープンソースの「SKIP」
SKIP ver.1.0をリリースします。RCではなく、正式公開版になります。ver.0.9は、技術者が運用することを前提としたベータ版という位置付けでした。ver.1.0では、技術者でない方でも運用できるように改善した正式版になります。※現在マニュアル整備中につき、一部の操作方法について、わかりにくい点があります。 追って整備を進めていきますので、今しばらくお待ち下さい。デモは、こちらから。ダウンロードは、こちらから。セットアップ手順は、こちらを確認して下さい。 以下で、ver.0.9からの主な変更点について、紹介します。 手軽にメンテナンスできるようになりました ユーザを追加したり、システムの設定を変更したり、メッセージを書き換えたりといったメンテナンスは、SKIPを運営する上で日々発生します。ver.0.9では、技術者が行う想定だったため、とても敷居が高い作業になっていました(設定
つらくないケータイWeb開発（1/2）－ ＠IT
第1回 つらくないケータイWeb開発 設樂 洋爾 2008/10/20 何かと注文の多い日本の携帯電話向けWebサイト構築。jpmobileで、Ruby on Rails流の、つらくない携帯Webサイトを開発しよう（編集部） 本連載では、Ruby on Rails（Rails）をすでに利用されている方を対象に、Rails用プラグインjpmobileを使って携帯向けWebサイトを構築する方法を紹介します。 jpmobileは日本の携帯電話向けのサイトを構築するときに生じる厄介事を、Ruby on Rails流のやり方に倣って解決するためのプラグインです。 Mobile web development that doesn't hurt 日本の携帯電話は「ガラパゴス」と称され、時にやゆされもするように、良くも悪くも独自の進化・発展を遂げてきました。現代人の生活に密着して存在する携帯電話は、位置
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自分でWebサービスを作ってたら起業することになりました - func09
jugyo.org
http://japan.internet.com/wmnews/20090713/2.html
http://japan.internet.com/webtech/20081226/12.html