CVE-2026-33195 in activestorage
الملخص
بحسب VulDB • 27/08/2026
يتيح Active Storage للمستخدمين إرفاق ملفات سحابية ومحلية في تطبيقات Rails. قبل الإصدارات 8.1.2.1، و8.0.4.1، و7.2.3.1، لا تقوم الدالة `DiskService#path_for` الخاصة بـ Active Storage بالتحقق من أن مسار نظام الملفات المحلول يظل ضمن دليل التخزين الجذر (storage root directory). إذا تم استخدام مفتاح blob يحتوي على تسلسلات عبور المسار (مثل `../`)، فقد يسمح ذلك بقراءة أو كتابة أو حذف ملفات عشوائية على الخادم. يُتوقع أن تكون مفاتيح Blob سلاسل موثوقة، ولكن قد تقوم بعض التطبيقات بإدخال مدخلات المستخدم كمفاتيح مما يجعلها متأثرة بالثغرة. تحتوي الإصدارات 8.1.2.1، و8.0.4.1، و7.2.3.1 على تصحيح للثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.