Вообще то да, я называю это format injection — когда есть формат с определенными правилами/делимитерами и он ломается через вставку. Только SQL это другой класс injection я бы выделил. xss-да
>Я бы хорошо подумал перед тем, как позволять пользователю вводить URL, который я должен дернуть со своего сервера. Тут даже при валидном URL’е можно огрести проблем.
Если такая задача поставлена, то ее надо реализовывать.
2FA совершенно беспомощна против man in the browser, давно известный факт. Только 2фа провайдеры продолжают говорить что это спасет людей. А то что вирусы это основная угроза для онлайн банкинга люди походу не могут понять.
Между прочим защиту то сделать можно, нужно сделать правильный out of band канал с отдельным приватным ключем. Этим я и занимаюсь кстати.
Вот еще детектор профиля на линкедине, фейсбуке и других сайтах sakurity.com/blog/2015/03/10/Profilejacking.html
более конкретно, как можно досить и чтобы это было реально полезно? SSRF еще можно понять
в open кстати file:/// не проходит а в питонский urllib проходит.
То что большинство НЕ знает я вам гарантирую. Аудировать безопасность рельсов это моя работа, и я знаю о чем говорю.
Если такая задача поставлена, то ее надо реализовывать.
Между прочим защиту то сделать можно, нужно сделать правильный out of band канал с отдельным приватным ключем. Этим я и занимаюсь кстати.