Homakov Jun 4 2015 at 19:35

BSON инъекция в MongoDB адаптере для Ruby

3 min

11K

Information Security*Ruby*MongoDB*

+27

Comments 9

denis_g Jun 4 2015 at 21:29

Как страшно жить… Они бы еще \初 и \端 использовали для обозначения начала и конца строки. Хотя уважающий себя программист все же должен знать о таких «сюрпризах» языка, на котором он пишет.

symbix Jun 4 2015 at 22:24

Обычный PCRE в multiline mode. См. pcresyntax(3), ANCHORS AND SIMPLE ASSERTIONS.

Просто надо помнить, что в Ruby в регулярках используется multiline mode.

denis_g Jun 4 2015 at 22:32

Значит, я сам дурак, не сталкивался с multiline регулярками :)

sl_bug Jun 5 2015 at 00:12

Опять? Зачем ломать интернеты так часто? Дай отдохнуть :)

Homakov Jun 5 2015 at 00:59

Доктор сказал что у меня зависимость.

sl_bug Jun 5 2015 at 01:04

Так лекарства пить нужно :)

sl_bug Jun 5 2015 at 01:11

Тогда уж задам вопрос. GridFS страдает тем же? (через mongo-ruby-driver)

Lure_of_Chaos Jun 5 2015 at 10:47

Опять. Те же фаберже, вид сбоку. В прошлый раз была уязвимость интерпретирования параметров как JSON
Почему никто не исправляет похожие баги в других местах, когда они найдены в одном?

Homakov Jun 5 2015 at 11:30

Абсолютно другая уязвимость и последствия, если вы про баг с JSNO.parse

Show the best of all time