Ruby on Rails usuwa 21 luków bezpieczeństwa, w tym jeden krytyczny

Two white security cameras mounted on a pole against a clear blue sky — Michał Jakubowski / Unsplash

Zespół deweloperski frameworka do tworzenia aplikacji internetowych Ruby on Rails opublikował aktualizację bezpieczeństwa, która usuwa 21 zidentyfikowanych luk. Wśród nich znajduje się jedno krytyczne zagrożenie oraz cztery o wysokim stopniu ryzyka.

Deweloperzy udostępnili poprawione wersje oprogramowania, oznaczone numerami 8.1.4.1 oraz 8.0.5.2, w dniu 4 listopada 2026 roku. Łącznie naprawiono 21 problemów bezpieczeństwa. Jeden z nich ma status krytyczny, cztery są klasyfikowane jako wysokie, trzynaście jako średnie, a trzy jako niskie.

Luka o najwyższym stopniu zagrożenia, oznaczona identyfikatorem CVE-2026-122006, dotyczy komponentu Active Storage, który odpowiada za zarządzanie i analizę obrazów podczas przesyłania plików. System oceny ryzyka CVSSv3.1 przyznał jej bazowy wynik 9,8.

Zagrożenie dotyka aplikacji, które korzystają z narzędzia ImageMagick do przetwarzania obrazów i akceptują przesyłanie plików od niezaufanych użytkowników. Złośliwie spreparowany plik może umożliwić nadpisanie dowolnego pliku na serwerze. W niektórych środowiskach istnieje również ryzyko kradzieży plików z aplikacji.

Pozostałe naprawione luki obejmują możliwość odczytu dowolnych plików, zdalne wykonanie kodu, omijanie walidacji parametrów, podszywanie się pod adresy IP, ataki typu skryptowanie między witrynami oraz ataki typu odmowa usługi.

Zespół deweloperski zaleca użytkownikom jak najszybsze zaktualizowanie oprogramowania do poprawionych wersji. Należy pamiętać, że wsparcie bezpieczeństwa dla gałęzi 8.0 zakończy się 7 listopada 2026 roku, po czym nie będą już publikowane poprawki dla tego wydania.