Ruby on Rails corregge 21 vulnerabilità, una critica in Active Storage

black laptop computer on table — TheStandingDesk / Unsplash

Il framework per applicazioni web Ruby on Rails ha subito un aggiornamento di sicurezza che risolve 21 problemi di vulnerabilità. L'aggiornamento è stato rilasciato dal team di sviluppo per affrontare minacce che spaziano da livelli di gravità critici a bassi.

Il team di sviluppo ha pubblicato le versioni 8.1.4.1 e 8.0.5.2 il 4 novembre 2026. Queste versioni correggono un totale di 21 problemi di sicurezza. La distribuzione della gravità comprende un problema critico, quattro problemi di gravità alta, tredici di gravità media e tre di gravità bassa.

La vulnerabilità classificata come critica è identificata come CVE-2026-122006 e riguarda il componente Active Storage, responsabile del caricamento e della gestione dei file. Il problema si trova nel processo di analisi delle immagini. Il punteggio base del sistema di valutazione comune delle vulnerabilità, versione 3.1, è stato fissato a 9,8.

Le applicazioni che utilizzano ImageMagick per l'elaborazione delle immagini e che accettano il caricamento di file da utenti non fidati sono colpite. Il caricamento di un file manipolato potrebbe consentire la scrittura di file arbitrari sul server. In alcune configurazioni, esiste anche il rischio di furto di file dall'applicazione.

L'aggiornamento affronta anche altre vulnerabilità che potrebbero portare alla lettura di file arbitrari o all'esecuzione remota di codice. Sono state risolte inoltre debolezze legate all'elusione della verifica dei parametri, alla falsificazione degli indirizzi IP, all'esecuzione di script tra siti e al negato servizio. Il team di sviluppo raccomanda vivamente agli utenti di aggiornare immediatamente alle versioni corrette.

È importante notare che il supporto di sicurezza per il ramo 8.0 terminerà il 7 novembre 2026. Dopo questa data, non verranno più fornite correzioni per le vulnerabilità in quella linea di sviluppo.