Ruby on Rails ontvangt belangrijke beveiligingsupdate

white security camera — Alex Knight / Unsplash

Het webapplicatiekader Ruby on Rails heeft verschillende kwetsbaarheden onthuld, waaronder ernstige kwetsbaarheden. Een beveiligingsupdate is beschikbaar gesteld.

Het ontwikkelingsteam heeft op 4 november 2026 lokale tijd de beveiligingsupdate Ruby on Rails 8.1.4.1 en 8.0.5.2 uitgebracht. In totaal zijn 21 beveiligingsproblemen opgelost. De ernst van deze kwetsbaarheden varieert, met 1 kritiek, 4 hoog, 13 gemiddeld en 3 laag.

De kritiek kwetsbaarheid betreft een probleem in de afbeeldingsverwerking van Active Storage, die verantwoordelijk is voor het uploaden en beheren van bestanden. Deze kwetsbaarheid, aangeduid als CVE-2026-122006, heeft een basisscore van 9.8 volgens het Common Vulnerability Scoring System (CVSSv3.1).

Applicaties die ImageMagick gebruiken en bestand uploads van niet-vertrouwde gebruikers accepteren, kunnen door deze kwetsbaarheid worden beïnvloed. Wanneer een gemanipuleerd bestand wordt geüpload, kan dit leiden tot het schrijven van willekeurige bestanden op de server, en in sommige gevallen kan het ook leiden tot het stelen van bestanden uit de applicatie.

Daarnaast zijn er kwetsbaarheden ontdekt die het mogelijk maken om willekeurige bestanden te lezen, code op afstand uit te voeren, parameterverificatie te omzeilen, IP-adressen te vervalsen, cross-site scripting (XSS) uit te voeren en denial of service (DoS) aanvallen uit te voeren.

Het ontwikkelingsteam raadt gebruikers sterk aan om zo snel mogelijk te upgraden naar de nieuwe versies. De beveiligingsondersteuning voor de 8.0-vertakking eindigt op 7 november 2026, wat betekent dat er geen verdere kwetsbaarheidsoplossingen voor die versie zullen worden aangeboden.