2.4.0rc1でDB_PASSの値により assets：precompile が失敗したのはこのセキュリティバグのせいかな。本来パスワードはアセットに含めちゃダメだけど入っちゃったってことかね