Обновление «Ruby on Rails» - исправлено 21 уязвимость

white surveillance camera hanging on wall — Alan J. Hendry / Unsplash

В веб-приложенческом фреймворке «Ruby on Rails» были выявлены несколько уязвимостей. Среди них есть и серьезные проблемы, для которых была предоставлена обновленная версия безопасности.

Команда разработчиков выпустила обновления безопасности «Ruby on Rails 8.1.4.1» и «8.0.5.2» 4 ноября 2026 года по местному времени. В обновлении исправлены 21 проблема безопасности. Из них одна уязвимость имеет уровень критичности «Критическая», четыре, «Высокая», тринадцать, «Средняя» и три, «Низкая».

Уязвимость, имеющая уровень критичности «Критическая», связана с обработкой изображений в «Active Storage», которая отвечает за загрузку и управление файлами. Эта уязвимость обозначена как «CVE-2026-122006», а базовый балл по системе оценки общих уязвимостей «CVSSv3.1» составляет «9.8».

На уязвимость могут повлиять приложения, использующие «ImageMagick» для обработки изображений и допускающие загрузку файлов от ненадежных пользователей. В случае загрузки поддельного файла существует риск записи произвольных файлов на сервере, а в некоторых случаях возможна кража файлов из приложения.

Кроме того, обновление устраняет широкий спектр уязвимостей, которые могут позволить читать произвольные файлы, выполнять код удаленно, обходить проверки параметров, подделывать IP-адреса, использовать уязвимости межсайтового скриптинга (XSS) и атаки отказа в обслуживании (DoS).

Команда разработчиков настоятельно рекомендует пользователям как можно быстрее обновиться до исправленной версии. Также сообщается, что поддержка безопасности для ветки «8.0» завершится 7 ноября по местному времени, и в будущем исправлений уязвимостей для этой ветки не будет.