Ruby on Rails uppdateras för att åtgärda 21 sårbarheter

selective focus photography of lens — Bernard Hermant / Unsplash

Ramverket för webbapplikationer Ruby on Rails har drabbats av flera sårbarheter, varav vissa beskrivs som allvarliga. Säkerhetsuppdateringar har nu tillhandahållits för att åtgärda dessa problem.

Utvecklingsteamet släppte den 4 november 2026 versionerna Ruby on Rails 8.1.4.1 och 8.0.5.2. Totalt har 21 säkerhetsproblem åtgärdats. Bland dessa finns en sårbarhet med nivån kritisk, fyra med nivån hög, 13 med nivån medel och tre med nivån låg.

Den kritiska sårbarheten, identifierad som CVE-2026-122006, finns i bildanalysprocessen i Active Storage, vilket hanterar uppladdning och administration av filer. Denna sårbarhet har fått ett grundpoängvärde på 9,8 enligt det gemensamma systemet för sårbarhetsbedömning CVSSv3.1.

Applikationer som använder ImageMagick för bildbehandling och som tillåter filuppladdningar från opålitliga användare är påverkade. Det finns en risk att godtyckliga filer skrivs till servern om en manipulerad fil laddas upp, och beroende på miljön kan filer stjälas från applikationen.

Övriga åtgärdade sårbarheter inkluderar risker för att godtyckliga filer läses eller att kod körs på distans. Dessutom har problem rörande kringgående av parameterverifiering, förfalskning av IP-adresser, korssajtskripting samt överbelastningsattacker åtgärdats.

Användare uppmanas starkt av utvecklingsteamet att uppdatera till de korrigerade versionerna så snart som möjligt. Det noteras att säkerhetsstödet för grenen 8.0 upphör den 7 november 2026, vilket innebär att framtida sårbarheter i den versionen inte kommer att åtgärdas.