rails-pro

Mit den RoR-Version, die älter als Version 1.2.6 waren, konnten Sessions aus einer Anwendung "geklaut" werden (Session Hijacking), wenn aus den DEFAULT_SESSION_OPTIONS das Attribut "cookie_only" entfernt wurde. Die neue Version behebt diese Sicherheitslücke.

Weitere Infos auch im Bugreport