Railsのバージョンを7.0.5から7.0.5.1に変更する人
Rails Versions 7.0.5.1, 6.1.7.4 have been released!
https://rubyonrails.org/2023/6/26/Rails-Versions-7-0-5-1-6-1-7-4-have-been-released
redirect_to
による脆弱性の対応redirect_to
を使っている場合にクロスサイトスクリプティング(XSS)の攻撃が発生する可能性がある模様。
ただし、redirect_to
を使っている場所全てで発生するということではなく、外部のホストにリダイレクトを許可している場合に発生しうるというものです。
外部ホストにリダイレクトを許可する設定は
'https://example.com', allow_other_host: true redirect_to
こんな形でallow_other_hostをtrueに意図的にする必要があります。
逆に言えばこの設定を意図的にしなければRails側でエラーになるようになっています。
なので、これらを使っていない場合は特に影響はありません。
また使っていた場合もバージョンをあげることで解消されるので気付いた時にあげましょう。