CVE-2026-33173
ŚrednieCVSS 5.3Streszczenie
Active Storage w aplikacjach Rails przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 pozwala kontrolerowi DirectUploadsController przyjmować dowolne metadane od klienta i zapisywać je w obiekcie blob. Ponieważ wewnętrzne flagi identified i analyzed są przechowywane w tym samym hashu metadanych, klient direct-upload może ustawić je, aby pominąć wykrywanie MIME i analizę, co pozwala przesłać dowolną treść z deklarowanym bezpiecznym content_type i obejść walidacje.
Ocena ryzyka
Atakujący może przesłać dowolną treść, podszywając się pod bezpieczny typ zawartości, i obejść walidacje oparte na automatycznym wykrywaniu typu MIME. Może to prowadzić do przechowywania i dystrybucji złośliwych plików w aplikacji.
Rekomendacja
Zaktualizuj Rails/Active Storage do wersji 8.1.2.1, 8.0.4.1 lub 7.2.3.1 (lub nowszej). Do czasu aktualizacji rozważ ograniczenie lub wyłączenie bezpośrednich uploadów oraz weryfikację typów plików po stronie serwera.
Inne podatności w Active Storage
Zobacz wszystkie- CVE-2026-33658Średnie
Active Storage w aplikacjach Rails pozwala użytkownikom dołączać pliki w chmurze i lokalne. Przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 kontroler proxy nie ogranicza liczby zakresów bajtów w nagłówku HTTP Range, przez co żądanie z tysiącami małych zakresów powoduje nieproporcjonalne zużycie CPU i może prowadzić do ataku DoS.
- CVE-2026-33202Krytyczne
W Active Storage (Ruby on Rails) przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 metoda DiskService#delete_prefixed przekazuje klucze blobów bezpośrednio do Dir.glob bez escapowania metaznaków glob. Jeśli klucz bloba zawiera dane kontrolowane przez atakującego lub metaznaki glob, może dojść do usunięcia niezamierzonych plików z katalogu przechowywania.
- CVE-2026-33195Krytyczne
Podatność w Active Storage umożliwia atak typu path traversal przez nieprawidłową walidację ścieżki w `DiskService#path_for`. Jeśli klucz blob zawiera sekwencje `../`, atakujący może odczytywać, zapisywać lub usuwać dowolne pliki na serwerze.
- CVE-2025-24293Wysokie
Podatność w Active Storage umożliwia ominięcie domyślnych zabezpieczeń dla metod transformacji obrazów, co może prowadzić do wstrzyknięcia komend w przypadku akceptowania danych wejściowych od użytkownika jako metod lub parametrów transformacji. Problem dotyczy aplikacji używających Active Storage z gemem image_processing oraz mini_magick jako procesorem obrazów.
Oryginalny opis (angielski, źródło NVD)
Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, `DirectUploadsController` accepts arbitrary metadata from the client and persists it on the blob. Because internal flags like `identified` and `analyzed` are stored in the same metadata hash, a direct-upload client can set these flags to skip MIME detection and analysis. This allows an attacker to upload arbitrary content while claiming a safe `content_type`, bypassing any validations that rely on Active Storage's automatic content type identification. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS