CVE-2026-33195 in activestorage
Zusammenfassung
von VulDB • 30.06.2026
Active Storage ermöglicht es Benutzern, Cloud- und lokale Dateien in Rails-Anwendungen anzuhängen. Vor den Versionen 8.1.2.1, 8.0.4.1 und 7.2.3.1 validiert `DiskService#path_for` von Active Storage nicht, ob der aufgelöste Dateisystempfad innerhalb des Speicher-Root-Verzeichnisses verbleibt. Wenn ein Blob-Schlüssel verwendet wird, der Pfadtransversal-Sequenzen (z. B. `../`) enthält, kann dies das Lesen, Schreiben oder Löschen beliebiger Dateien auf dem Server ermöglichen. Blob-Schlüssel werden als vertrauenswürdige Zeichenfolgen erwartet, aber einige Anwendungen könnten Benutzereingaben als Schlüssel übergeben und wären daher betroffen. Die Versionen 8.1.2.1, 8.0.4.1 und 7.2.3.1 enthalten einen Patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.