CVE:CVE-2016-6317
CNNVD:CNNVD-201608-291
Ruby on Rails（Rails）是Rails核心团队开发维护的一套基于Ruby语言的开源Web应用框架，它是由大卫-海纳梅尔-韩森从美国37signals公司的项目管理工具Basecamp里分离出来的。Action Record是其中的一个负责与数据库通信的ORM（一种对象关系映射程序技术）组件。
Ruby on Rails 4.2.7.1之前的4.2.x版本中的Action Record中存在安全漏洞，该漏洞源于程序没有正确考虑Active Record组件和JSON实现过程之间参数处理的差别。远程攻击者可通过发送特制的请求利用该漏洞绕过既定的database-query限制，执行NULL检查，触发缺少的WHERE子句。
solution:Upgrade rubyonrails rails to a higher version than 4.2.0,4.2.0:beta1,4.2.0:beta2,4.2.0:beta3,4.2.0:beta4,4.2.0:rc1,4.2.0:rc2,4.2.0:rc3,4.2.1,4.2.1:rc1,4.2.1:rc2,4.2.1:rc3,4.2.1:rc4,4.2.2,4.2.3,4.2.3:rc1,4.2.4,4.2.4:rc1,4.2.5,4.2.5:rc1,4.2.5:rc2,4.2.5.1,4.2.5.2,4.2.6,4.2.6:rc1,4.2.7,4.2.7:rc1,and avoid the version 4.2.0,4.2.0:beta1,4.2.0:beta2,4.2.0:beta3,4.2.0:beta4,4.2.0:rc1,4.2.0:rc2,4.2.0:rc3,4.2.1,4.2.1:rc1,4.2.1:rc2,4.2.1:rc3,4.2.1:rc4,4.2.2,4.2.3,4.2.3:rc1,4.2.4,4.2.4:rc1,4.2.5,4.2.5:rc1,4.2.5:rc2,4.2.5.1,4.2.5.2,4.2.6,4.2.6:rc1,4.2.7,4.2.7:rc1