assignment脆弱性があります。params[:issue_template]で値を設定すると、HTTPリクエストのパラメータにproject_idやauthor_idを勝手に追加して意図しないフィールドの値を書き換えられてしまいます。=で値を設定すればよいと思います。以下の修正を参考にして下さい。高め(High)ありがとうございます。全部書き換えできてしまうんですね。#なによりもお恥ずかしい...。ポイントも大変助かりました、ありがとうございます!パラメータinjection(?)に対してもテストコードを書いたりするのがやはり定石なんでしょうか。safe_attributeに変更しただけですが...。issue_template_settingsも同様の修正をしています。一応テストコードで、ProjectIDとAuthorIDをパラメータで渡しても上書きされないことは確認してみました。LangLoading...。