Další kritická chyba v Ruby on Rails

Thomas Hollstege informuje o další kritické chybě objevené v Ruby on Rails. Zatímco před 14 dny šlo o chybu v XML parseru, tentokrát jde o díru v implementaci JSON, která umožňuje mimo jiné SQL injection.

12.2.2013 10:10 | Jakub Lucký | Bezpečnostní upozornění

Komentáře

[R]

Hlavne nepouzivajte PHP, lebo je nebezpecne :D

[mirec]

PHP je tak bezpečné ako bezpečne dokáže pracovať programátor + neraz som v PHP videl stack overflowy, segmentation fault ... takže okrem toho čo môže pokašlať programátor tam pribudnú diery samotného jazyka.

[R]

Takze je to uplne rovnake ako u vsetkych ostatnych jazykov.

[mirec]

Toto sa týka frameworku, nie jazyka samotného. Ako jazyk je PHP svojou bezpečnosťou za absolútne všetkým čo poznám. Kto písal niekedy rozšírenia PHP v C asi pochopil ako je PHP celé stavané. Ak sa na to pozriem ako sa v PHP píšu aplikácie tak to je tiež jedna veľká katastrofa. Niekoľko krát som si zostrelil databázu kvôli zle ukončenej podmienke (PHP niekde vyhodilo že "0" je false a už sa to viezlo, pár neexistujúcich indexov v poli kde sa aplikácia nezastavila ale potichu fungovala ďalej, rozbité DFS stromy ...).

[little.owl]

Mate pravdu oba.

PHP a Ruby, a jejich frameworky jsou spatne.

Je treba pouzivat Python a treba Django .

[----]

PHP je špatný jazyk se špatnými frameworky, Ruby je slušný jazyk, ale RoR stojí za h*vno.. Python je takový průměr, Django je "meh", s Pythonem bych použil třeba Flask.

[little.owl]

Ruby je slušný jazyk ... Python je takový průměr

Tohle me zajima.

Pred cca osmi lety jsem resil prechod z Perlu na bud Python a nebo Ruby, a Python vyhral.

Od te doby jsem nehledel zpet, Python3 mi vyhovuje a jaka je situace se soucasnym Ruby, ani nevim.

Tedy jaka je tedy situace ted? Proc je Ruby lepsi?

U frameworku moc nevim, stranky nedelam, jen obcas "vizualizuji" data, a na to pouzivam predevsim CherryPy.

[coder]

Ruby je lepší protože ... má nejzábavnější podcast o programování - Ruby Rogues.

[little.owl]

Stranka, ktera po me chce shockwave-flash nemuze byt dobra z principu!

[----]

poznámka, myslel jsem to pouze z pohledu designu jazyka (Ruby se mi líbí jako jazyk o něco víc), nikoliv implementace či podpory frameworků/knihoven (tam by určitě vyhrál Python)

[little.owl]

OK, osobni preference.

[Jakub Lucký]

což o to, že

"0" == False

ale mě tuhle totálně uzemnilo (a hlavně mojí aplikaci) že

empty("0") == True

Já vím, že je to zdokumentované, ale je to zdokumentované WTF...

[pavlix]

Typická PHPkovina.

[nyan]

Ti co meli do cineni s MySQL, vi ze odborny vyraz zni "Gotcha"

[neron]

Tohle není problém jazyka (PHP, Ruby) ale frameworku nad ním. Chyby se objevují všude a jsem si jist, že autoři RoR (obecně všech rožšířených frameworků) jich napáchají méně, než většina patlalů v PHP.

[pavlix]

Chyby se objevují všude a jsem si jist, že autoři RoR (obecně všech rožšířených frameworků) jich napáchají méně, než většina patlalů v PHP.

To je sice hezká statistická domněnka, nejspíše i pravdivá, ale jediné, co z ní vyplývá je, že je PHP rozšířené.

[coder]

Mé srdce sice bije pro Haskell ale odhalování chyb v důležitých částech opensource nástrojů jsem měl vždy za pozitivní událost.

Když se najde chyba, můžete začít nadávat a posmívat se a nebo se radovat, že to někdo odhalil, vyšetřil a zabezpečil.

[lambdabot]

Tak tak, navic ty chyby jsou bleskove opravene. Kdyz si vzpomenu jak jsem adminoval Win servery a musel delat workaroundy aby je necrackli a modlit se jestli treba za pul roku vydaji hotfix, tak z toho mam nocni mury doted.

Btw. haskell a ghc prekladac jsou genialni a taky na nich ted ujizdim. Co se tyce webovych frameworku, tak jsem si hral s Happstackem (nesnasim DSL proto ne Yesod) a dela se v tom snadno. Clovek ani nemusi komentovat kod a je hned zrejmy co dela. Jediny co mi chybi je vic knihoven pro podporu e-commerce jako jsou platebni systemy, implementace nakupniho kosiku, objednavkovy modul. Chtel jsem na tom postavit jednoduchy e-shop, ale nakonec jsem vymeknul a udelal nad Spree/RoR. Kazdopadne se k tomu hodlam vratit a pokud to nekdo neudela driv, tak to doladim a hodim na Hackage.

[Michal Karas]

Did Rails have a major security flaw today?

[frEon]

[failer]

A vedle v nabídkách práce 4x programátor RoR...