CVE-2026-33658
ŚrednieCVSS 6.5Streszczenie
Active Storage w aplikacjach Rails pozwala użytkownikom dołączać pliki w chmurze i lokalne. Przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 kontroler proxy nie ogranicza liczby zakresów bajtów w nagłówku HTTP Range, przez co żądanie z tysiącami małych zakresów powoduje nieproporcjonalne zużycie CPU i może prowadzić do ataku DoS.
Ocena ryzyka
Atakujący może wysłać spreparowane żądanie z wieloma zakresami, aby wyczerpać zasoby CPU serwera i doprowadzić do odmowy usługi. Ryzyko dotyczy aplikacji Rails korzystających z Active Storage w wersjach przed poprawką.
Rekomendacja
Zaktualizuj Rails/Active Storage do wersji 8.1.2.1, 8.0.4.1 lub 7.2.3.1 (lub nowszej). Do czasu aktualizacji rozważ ograniczenie liczby zakresów w nagłówku Range na poziomie serwera proxy.
Inne podatności w Active Storage
Zobacz wszystkie- CVE-2026-33173Średnie
Active Storage w aplikacjach Rails przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 pozwala kontrolerowi DirectUploadsController przyjmować dowolne metadane od klienta i zapisywać je w obiekcie blob. Ponieważ wewnętrzne flagi identified i analyzed są przechowywane w tym samym hashu metadanych, klient direct-upload może ustawić je, aby pominąć wykrywanie MIME i analizę, co pozwala przesłać dowolną treść z deklarowanym bezpiecznym content_type i obejść walidacje.
- CVE-2026-33202Krytyczne
W Active Storage (Ruby on Rails) przed wersjami 8.1.2.1, 8.0.4.1 i 7.2.3.1 metoda DiskService#delete_prefixed przekazuje klucze blobów bezpośrednio do Dir.glob bez escapowania metaznaków glob. Jeśli klucz bloba zawiera dane kontrolowane przez atakującego lub metaznaki glob, może dojść do usunięcia niezamierzonych plików z katalogu przechowywania.
- CVE-2026-33195Krytyczne
Podatność w Active Storage umożliwia atak typu path traversal przez nieprawidłową walidację ścieżki w `DiskService#path_for`. Jeśli klucz blob zawiera sekwencje `../`, atakujący może odczytywać, zapisywać lub usuwać dowolne pliki na serwerze.
- CVE-2025-24293Wysokie
Podatność w Active Storage umożliwia ominięcie domyślnych zabezpieczeń dla metod transformacji obrazów, co może prowadzić do wstrzyknięcia komend w przypadku akceptowania danych wejściowych od użytkownika jako metod lub parametrów transformacji. Problem dotyczy aplikacji używających Active Storage z gemem image_processing oraz mini_magick jako procesorem obrazów.
Oryginalny opis (angielski, źródło NVD)
Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 Active Storage's proxy controller does not limit the number of byte ranges in an HTTP Range header. A request with thousands of small ranges causes disproportionate CPU usage compared to a normal request for the same file, possibly resulting in a DoS vulnerability. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS