עדכוני אבטחה ל-Ruby on Rails מתקנים 21 פרצות

two women facing security camera above mounted on structure — Matthew Henry / Unsplash

מספר פרצות אבטחה נחשפו במסגרת מסגרת הפיתוח לאפליקציות אינטרנט Ruby on Rails, וחלקן הוגדרו כחמורות.

צוות הפיתוח שחרר ב-4 בנובמבר 2026 את עדכוני האבטחה Ruby on Rails 8.1.4.1 ו-Ruby on Rails 8.0.5.2. עדכונים אלו מתקנים 21 בעיות אבטחה, שביניהן אחת ברמה קריטית, ארבע ברמה גבוהה, 13 ברמה בינונית ושלוש ברמה נמוכה.

הפרצה שסווגה כקריטית, המזוהה כ-CVE-2026-122006, נמצאה בתהליך ניתוח התמונות של Active Storage, המשמש להעלאה וניהול של קבצים. פרצה זו קיבלה ציון בסיס של 9.8 לפי מערכת הערכה משותפת של פרצות אבטחה מסוג CVSSv3.1.

אפליקציות המשתמשות ב-ImageMagick לעיבוד תמונות ומקבלות העלאות קבצים ממשתמשים שאינם מהימנים עלולות להיות מושפעות. במקרה של העלאת קובץ שעבר מניפולציה, קיימת סכנה לכתיבת קבצים שרירותיים על השרת, ובסביבות מסוימות קיימת סכנה לגניבת קבצים מהאפליקציה.

העדכונים מטפלים במגוון רחב של פרצות נוספות, כולל סיכונים לקריאת קבצים שרירותיים, הרצת קוד מרחוק, עקיפת אימות פרמטרים, זיוף כתובות IP, תקיפות מסוג Cross-Site Scripting ומתקפות מסוג Denial of Service.

צוות הפיתוח ממליץ למשתמשים לשדרג לגרסאות המתוקנות בהקדם. בנוסף, צוין כי התמיכה באבטחה עבור ענף 8.0 תסתיים ב-7 בנובמבר, ולאחר מכן לא יבוצעו תיקוני פרצות עבורו.