最近发现的两个安全问题给 Ruby on Rails 社区带来了一些忙乱，每个 Rails 开发者都必须注意近期发布的升级包。
易受攻击的跨站脚本
第一，可能是最严重的就是 Brian Mastenbook 发现的跨站脚本（XSS）的脆弱，并且在他的博客中报告了这个问题。Brian 描述了他是如何对 Twitter 和 37signals Basecamp 的 Ruby on Rails 进行跨站脚本攻击的。
虽然这种攻击的可能性不是很高，但是 Ruby on Rails 团队很快做出了反映，检查了这个报告并且为 Rails 2.0 - 2.3 发布了补丁。
团队建议将不支持的 Rails 升级到现在的版本，因为未来发现的问题解决方案也可能不会支持本次未支持的版本。我们要注意，只有 Rails 2.2.x 和 2.3.x 是将来肯定会支持的。
脆弱的计时器
另外一个问题类似于计时器攻击。这种攻击和Rails 验证储存在cookie 中的消息摘要有关，这个缺陷允许一个攻击者来决定伪造签名能够在什么时候通过验证。这可能诱引其他的攻击，例如伪造摘要。
Rails 团队承认这种攻击是不太可能的，但是他们还是建议打上补丁。补丁现在只是支持 Rails 2.2.x 和 2.3.x：
Coda Hale 是这个 Rails 计时器问题的发现者。他的网站很好地解释了计时器问题的概念以及它们是如何被利用的。
Ruby on Rails 2.3.4
Rails 开发者还是没有忘记给他们运行在Ruby on Rails 2.3.4的 Rails 程序打上最新的补丁，这个补丁修正了一些 bug，并且处理了上述两个安全问题。
这个版本也包括了一个新特性，能够通过一个简单的 rake db:seed 命令将 seed 数据添加到项目数据库。
查看英文原文： Ruby on Rails Security Vulnerabilities
