Stavo testando un'applicazione web scritta in Ruby, Rails framework, quando mi sono imbattuto nella seguente richiesta che è stata inviata. Ho modificato la richiesta e ora mi visualizza una parte della query di un SQL. Non ho familiarità con SQL in Ruby, quindi mi chiedevo se quanto segue fosse vulnerabile a SQLI.
RICHIESTA POST:
PUT /campaigns/**_42789_** HTTP/1.1
Host: test.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/json; charset=utf-8
X-Requested-With: XMLHttpRequest
Content-Length: 31
Cookie: cokies here
Connection: keep-alive
{"email_campaign":{"id":42789}}
Risposta:
{"message":"Couldn't find Promotion with [WHERE 'promotions'.'id' = ? AND (user_id IN (2170,2313) OR master_user_id = 2313)]"}
È possibile SQLI qui?