Ruby on Rails 3.2.11, 3.1.10, 3.0.19 a 2.3.15 (diskuse)

[eventually consistent]

Je to hodne desivy bug, po precitani 2 blogpostov som si bol schopny spravit exploit aj ja. Ak nemate moznost upgradu (shared hosting ...) tak tento patch by mal stacit

ActionDispatch::ParamsParser::DEFAULT_PARSERS.delete(Mime::XML)

[lmb]

nestačí …

ActiveSupport::XmlMini::PARSING.delete("symbol")
ActiveSupport::XmlMini::PARSING.delete("yaml")

tedy určeno pro Rails 3.x

[Lukáš Zapletal]

Stačí, když se zalepí díra v XML, tak už nejde použít symbol ani yaml.