Ruby on Railsのfind_by_*メソッドにSQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩の日記
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ
小さなマイクロブログ『mio』を作っています - とある技術の備忘録
Ruby これは何？小規模のグループで緩くコミュニケーションを取るための、Twitterクローンなマイクロブログです。Rails製です。このGW中に作りました。予め決められたグループで運用することを想定しているため、twitterに比べるとFollow機能等がありません*1が、その分グループ運用に適した他の機能も加わっています。 Timeline Wiki - Show Wiki - Edit なぜ作った？大学の研究室で日々の成果や意見等をつぶやくことで、学生や教員間で進捗を管理しつつコミュニケーションを取り、良い研究室生活を送ろう、という目的のもとで作りました。研究室でなくとも、友人間のグループや小規模なプロジェクト等、色々な用途に使えるのではないかと思っています。 また、Rails3を使ってまともなWebアプリを作ってみたかったので、その学習も兼ねています。コードはこちら(github
TitaniumとAptanaが買収により統合へ － ＠IT
2011/01/19 モバイルやPC向けの統合アプリ開発フレームワーク「Titanium」を提供する米Appceleratorは1月18日、Eclipseベースの統合開発環境（IDE）の「RadRails」（Ruby on Rails向け）や「Pydev」（Python向け）を提供する米Aptanaを買収したと発表した。買収は1月7日に完了している。 Titaniumは、RIA（リッチ・インターネット・アプリケーション）と呼ばれるジャンルに属するオープンソースの開発フレームワーク。HTMLやCSS、JavaScript、Ruby、PythonといったWeb開発で使われる技術を使いながら、iPhoneやiPad、Androidといったデバイス向けのネイティブアプリケーション開発が行えるのが特徴。単一のコードベースで、PC、Webブラウザ、モバイルに各種プラットフォームに対応できる。Appce
進化したJRuby 1.6、間もなくリリースへ 業務系PaaSで注目のRails、JRubyのゆくえは？ − ＠IT
2011/01/12 JRubyコミュニティは1月11日、バージョン1.6.0の初のリリース候補版「JRuby 1.6.0 RC1」をリリースした。JRubyはJavaVM上のRuby実装で、Windowsサーバへのインストールが容易なことや、Google AppEngineでRuby on Railsを稼働させられることから、最近注目が集まっている。 JRuby 1.6はこれまでで最大のバージョンアップで、主要な機能は、 Ruby 1.9.2とのAPI互換 Cによる拡張機能のサポート（実験的実装） プロファイラの内蔵 RubyGems 1.4.2 など。Rubyの言語仕様への適合度をチェックする「RubySpec」による互換性は、1.8モードで99％、1.9モードで90％という。また、もともとJRuby開発にとって大きな達成目標だったRails互換という点では、他のRuby処理系よりも重
異常に興奮するやり方で！ Ruby まつもと氏 － ＠IT
「それ」でないと開かないドアがある ＠IT 教育に目覚めた、というわけではない。 まつもと 自分たちで先頭を切って教えようということにはなりませんが、そういう基準が必要な場合、自分たちに何かできることはあれば協力はしたいと思っています。 ＠IT われわれ＠ITも、アールラーニングとの協業で認定ビジネスに取り組みます（関連記事：＠ITとアールラーニング、「Rails技術者認定試験」で協力）。すでにRubyアソシエーションを設立して、Ruby認定試験を開始している関係者の1人として、Rails認定はどうご覧いただけていますか？ まつもと まつもと個人としては、Rubyが広まることも、Railsを使う人が増えてRubyが広まることも、それによって多くのエンジニアがハッピーになるのであれば望ましいことだと思っています。だから、私が役立つことであれば応援したいと思っています。私自身、Ruby認定試験
セールスフォース・ドットコム、RubyのPaaS事業者を2億ドルで買収
米セールスフォース・ドットコムは2010年12月8日（米国時間）、「Ruby on Rails」が利用できるPaaS（プラットフォーム・アズ・ア・サービス）「Heroku」を運営する米ヘロクを買収することで合意したと発表した。買収金額は2億1200万ドルで、2011年1月31日までに買収が完了する予定。 ヘロクは2007年に設立した企業。同社のHerokuは、プログラミング言語「Ruby」や同言語のアプリケーションフレームワーク「Ruby on Rails」を使ったアプリケーションがホストできるPaaSである。既に10万件以上のRubyアプリケーションが、Herokuの上で稼働している。 セールスフォースの会長兼CEO（最高経営責任者）であるマーク・ベニオフ氏はプレスリリースで、同社が力を入れているソーシャルアプリケーション分野やモバイルアプリケーション分野でRuby on Railsの人
ブログ｜CBT/IBT 世界水準の試験運営｜プロメトリック
2026年02月19日 IRT（項目反応理論）とは？導入のメリットや注意点について解説 IRT（Item Response Theory：項目反応理論）とは、各設問に対する受験者の回答のデータを分析し、難易度・識別力を測定する試験理論です。IRTのメリット、注意点について解説します。 試験開発支援サービス 2026年02月06日 大学入試でCBTを導入するメリットは？導入事例も紹介 大学入試にCBTを導入することで、試験日程や試験会場を全国から選べたり、大学側の運営コストや業務負担の削減が可能になったりします。大学入試でのCBT導入事例も紹介します。 CBT 2026年01月14日 CBTでのセキュリティリスクとは？リスクの種類や対策を解説 CBTのセキュリティリスクには、個人情報漏洩やシステム障害、不正行為などがあります。CBTでのセキュリティリスクの種類やセキュリティ対策について解説し
Railsで携帯サイトを作るには – Ruby on Rails携帯サイト開発技法 - stnard.jp
Ruby on Rails携帯サイト開発技法 著者／訳者：伊藤 祐策 富田 陽介 三上 喜之 出版社：ソフトバンククリエイティブ( 2010-04-30 ) 大型本：312 ページ @yoshukiさんに献本していただきました。ありがとうございます。と言うわけで、書評を。 またもや端末識別番号問題 まず最初に残念な点を。最後の章でjpmobileを使わないで自前で機能を実装しているのですが、セッション管理に端末識別番号を利用してしまっています。これは高木さんがよく言われている由々しき問題で、エンジニアとしてはやってはいけないことのはずです。 ここまで破綻しているケータイID認証（簡単ログイン） on 高木浩光＠自宅の日記 せっかくその前の章でSession Fixationの話がでたのに、最後にそれを台無しにしてしまう内容は、少し残念でした。Railsで携帯サイト開発の初の本なのでよけ
GitHub - yuiseki/signin_with_twitter: rails2.3.5 sample of twitter oauth login using this plugin: http://github.com/mbleigh/twitter-auth
== Welcome to Rails Rails is a web-application framework that includes everything needed to create database-backed web applications according to the Model-View-Control pattern. This pattern splits the view (also called the presentation) into "dumb" templates that are primarily responsible for inserting pre-built data in between HTML tags. The model contains the "smart" domain objects (such as Acco
XSS対策パッチを当ててもRailsに残る脆弱性 - 岩本隆史の日記帳（アーカイブ）
どのような脆弱性か 先日書いた「Rails 2系のXSS脆弱性がRuby 1.9では影響なしとされる理由」という記事に、奥さん（id:kazuhooku）より、下記のブックマークコメントをいただきました。 たとえばブログの場合、誰かに壊れたUTF-8を含むコメントを書き込まれちゃうと、そのブログ全体にアクセスできなくなる(最新コメント一覧に出るから)んじゃないか。XSSが発生しないだけで脆弱性があることは変わらない はてなブックマーク - kazuhookuのブックマーク / 2009年9月26日 まったくおっしゃる通りです。アプリケーションの構成によっては、サービス自体が提供できなくなる可能性があります。 このような脆弱性を何とよぶのでしょうか。すでに統一的な呼称があるのかどうか、私は知りません。サービス不能という観点からは広義のDoS脆弱性といえるのかもしれません。 追記（2009-0
twitterがrubyからscalaへスイッチ - huixingの日記
twitterが2007年後半に先進的なユーザーに急速に受け入れられて以後、そのruby on railsアーキテクチャーはたびたびトラブルに見舞われてきた。しかし2008年中盤にtwitterがこっそり一部コードをscalaにポートして以来トラブルはなくなった。Twitterの開発者であるAlex Payneによれば普通に考えられているRuby on RailsやPHPやPythonなどいわゆるアジャイルな言語はすばやい変化に対応するには見合っているが非同期的プロセスのような力仕事には、スイス連邦工科大学ローザンヌ校のマーティン・オダースキーMartin Oderskyにより開発されたscalaが合っているという。2007年のある時点でtwitterにおけるrubyベースのメッセージ・キュー・システムが増えるプロセスに対応できずに壁にぶちあたったことに気付いた。2008年中盤にはメッセー
SKIP正式公開版(ver.1.0.0)をリリース | 社内SNSといえば、オープンソースの「SKIP」
SKIP ver.1.0をリリースします。RCではなく、正式公開版になります。ver.0.9は、技術者が運用することを前提としたベータ版という位置付けでした。ver.1.0では、技術者でない方でも運用できるように改善した正式版になります。※現在マニュアル整備中につき、一部の操作方法について、わかりにくい点があります。 追って整備を進めていきますので、今しばらくお待ち下さい。デモは、こちらから。ダウンロードは、こちらから。セットアップ手順は、こちらを確認して下さい。 以下で、ver.0.9からの主な変更点について、紹介します。 手軽にメンテナンスできるようになりました ユーザを追加したり、システムの設定を変更したり、メッセージを書き換えたりといったメンテナンスは、SKIPを運営する上で日々発生します。ver.0.9では、技術者が行う想定だったため、とても敷居が高い作業になっていました(設定
つらくないケータイWeb開発（1/2）－ ＠IT
第1回 つらくないケータイWeb開発 設樂 洋爾 2008/10/20 何かと注文の多い日本の携帯電話向けWebサイト構築。jpmobileで、Ruby on Rails流の、つらくない携帯Webサイトを開発しよう（編集部） 本連載では、Ruby on Rails（Rails）をすでに利用されている方を対象に、Rails用プラグインjpmobileを使って携帯向けWebサイトを構築する方法を紹介します。 jpmobileは日本の携帯電話向けのサイトを構築するときに生じる厄介事を、Ruby on Rails流のやり方に倣って解決するためのプラグインです。 Mobile web development that doesn't hurt 日本の携帯電話は「ガラパゴス」と称され、時にやゆされもするように、良くも悪くも独自の進化・発展を遂げてきました。現代人の生活に密着して存在する携帯電話は、位置
ニフティ、＠niftyサービス用に開発した「Ruby on Railsプラグイン」をオープンソース公開
ニフティは9月10日、インターネットサービス開発者向け情報提供サービス「＠niftyウェブサービス」で、＠niftyのポータルおよびCGMサービス用に開発した「Ruby on Railsプラグイン」の一部をオープンソースソフトウェアとして公開した。 Ruby on Railsプラグインは、Ruby on Railsで構築したアプリケーションに独自機能を追加するもので、ニフティでは、プログラミング言語「Ruby」の開発者まつもとゆきひろ氏が在籍するネットワーク応用通信研究所と共同で仕様を検討し、開発を行っている。 今回、データベースのテーブルの管理機能を提供する「ActiveRecordBrowser」、静的コンテンツをアプリケーション経由で公開する「FilePublisher」、データベースのスキーマの変更なしにモデルにフィールドを追加する「Acts AS Struct」の3つのRuby
社内向けSNSをオープンソース化 「SKIP（スキップ）」のソースコードを公開 - kuranukiの日記
TIS、企業向けSNS「SKIP（スキップ）」のソースコードを公開 −Ruby、アジャイルなどの最新技術・手法を活用して自社開発したSNSをオープンソース化− http://www.tis.co.jp/news/2008/080519.html http://release.nikkei.co.jp/detail.cfm?relID=189285 この企画自体は、約１年ほど前に立てたんですが、さすが大企業、ここに至るまで１年かかってしまいました。 2005年の秋頃から開発して運用している、うちの社内SNSなんですが、元々は私ともう一人の若者の２人で作ったものでした。 当初は、Ruby on Railsの勉強がてらの意味もあって作ったところもあったんですが、社内ユーザの支持も得られ、会社の施策として認められて、ここにきてようやく表に出すことができるところまできました。 今回公開する社内ＳＮＳ
TISの社内SNSがオープンソース化！ (でぃべろっぱーず・さいど)
JUIのことを書こうかと思いましたが、まずはこちらのニュースから。 うちの会社で利用されている社内SNSがオープンソース化されることが発表されました！ TIS、企業向けSNS「SKIP（スキップ）」のソースコードを公開 ： 2008年度（ニュースリリース） TIS株式会社 日経プレスリリース プロジェクトの指揮を執られていた（というかコード書いていた）XPのドンこと倉貫さんのブログでも報告されています。 社内向けSNSをオープンソース化するプレスリリースが出ました - kuranukiの日記 いやー、すごい。これはすごいよ。 コードの公開はもう少し先になるみたいですね。 これまでオープンソースなSNSと言えばPHPのOpenPNEがまず挙げられてましたが、それ以上に良いアプリだと思いますので、これを機に社内SNSを導入されてみてはいかがでしょうか。コードはRuby on Railsで書かれ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
jugyo.org
https://jp.techcrunch.com/2009/09/04/20090903rubyonrails-xss-vulnerability-claims-twitter-basecamp-and-my-confidence/
Reddit - Please wait for verification
TechCrunch Japanese アーカイブ ? Twitter、Ruby on Railsを放棄か