CVE-2025-24293 in activestorage Gem
الملخص
بحسب VulDB • 22/06/2026
# سمحت Active Storage باستخدام طرق تحويل محتملة عدم أمانها عالي
تحاول مكتبة Active Storage بشكل افتراضي منع استخدام طرق ومعلمات تحويل الصور التي قد تكون غير آمنة.
تحتوي القائمة الافتراضية للمسموح بها على ثلاث طرق تتيح تجاوز الإعدادات الآمنة، مما يتيح ثغرات حقن الأوامر (Command Injection) في الحالات التي يتم فيها قبول مدخلات مستخدم عشوائية كطرق أو معلمات تحويل صالحة.
التأثير ------ تؤثر هذه الثغرة على التطبيقات التي تستخدم Active Storage مع إضافة معالجة الصور `image_processing` بالإضافة إلى استخدام `mini_magick` كمعالج للصور.
سيبدو الكود المعرض للخطر شيئاً مشابهاً لهذا: ``` <%= image_tag blob.variant(params[:t] => params[:v]) %>
```
حيث تكون طريقة التحويل أو حججها مدخلات عشوائية غير موثوقة.
يجب على جميع المستخدمين الذين يشغلون إصدارًا متأثرًا إما ترقية النظام أو استخدام أحد الحلول البديلة فوراً.
الحلول البديلة (Workarounds) ----------- استهلاك المدخلات التي يوفرها المستخدم لطرق تحويل الصور أو معلماتها هو سلوك غير مدعوم ويجب اعتباره خطيراً.
يجب إجراء تحقق صارم من الطرق والمعلمات المقدمة من قبل المستخدمين، بالإضافة إلى تطبيق سياسة أمان قوية لـ [ImageMagick](https://imagemagick.org/script/security-policy.php).
الإقرارات -------
شكراً لك [lio346](https://hackerone.com/lio346) على الإبلاغ عن هذه الثغرة!
If you want to get best quality of vulnerability data, you may have to visit VulDB.