CVE-2026-33202

Active Storage w aplikacjach Rails pozwala użytkownikom dołączać pliki w chmurze i lokalne. Przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 kontroler proxy nie ogranicza liczby zakresów bajtów w nagłówku HTTP Range, przez co żądanie z tysiącami małych zakresów powoduje nieproporcjonalne zużycie CPU i może prowadzić do ataku DoS.

Active Storage w aplikacjach Rails przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 pozwala kontrolerowi DirectUploadsController przyjmować dowolne metadane od klienta i zapisywać je w obiekcie blob. Ponieważ wewnętrzne flagi identified i analyzed są przechowywane w tym samym hashu metadanych, klient direct-upload może ustawić je, aby pominąć wykrywanie MIME i analizę, co pozwala przesłać dowolną treść z deklarowanym bezpiecznym content_type i obejść walidacje.

Podatność w Active Storage umożliwia atak typu path traversal przez nieprawidłową walidację ścieżki w `DiskService#path_for`. Jeśli klucz blob zawiera sekwencje `../`, atakujący może odczytywać, zapisywać lub usuwać dowolne pliki na serwerze.

Podatność w Active Storage umożliwia ominięcie domyślnych zabezpieczeń dla metod transformacji obrazów, co może prowadzić do wstrzyknięcia komend w przypadku akceptowania danych wejściowych od użytkownika jako metod lub parametrów transformacji. Problem dotyczy aplikacji używających Active Storage z gemem image_processing oraz mini_magick jako procesorem obrazów.