Rails Active Storageでサーバー読み書き、修正版あり
Summary
Ruby on RailsのActive Storageに、画像ファイルを添付する処理を経由してサーバー上のファイルを読み書きされる脆弱性が公表されました。ImageMagickで添付を処理しているアプリは、修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Ruby on RailsのActive Storageに、画像ファイルを添付する処理を経由してサーバー上のファイルを読み書きされる脆弱性が公表されました。ImageMagickで添付を処理しているアプリは、修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| rubyonrails | Active Storage |
< 8.0.5.2 ≥ 8.1, < 8.1.4.1 |
8.0.5.2 8.1.4.1 |
Fix status by distribution
Fixed packages published by each distribution for this CVE Fixed versions differ by release; check each link.
- Ubuntu UBUNTU-CVE-2026-122006 rails
Original description The description as published by the source.
The activestorage gem before 8.1.4.1 for Ruby on Rails, when ImageMagick attachment processing occurs, can allow server read and write operations (e.g., reading secret_key_base) because the ImageMagick analyzer runs when a file is attached, and there is not an ImageMagick security policy to block unintended functionality.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com
- web github.com
- web github.com
- web github.com