CVE-2025-24293 in activestorage Gem
Riassunto
di VulDB • 04/08/2026
# Active Storage consentiva l'uso di metodi di trasformazione potenzialmente non sicuri
Active Storage tenta, per impostazione predefinita, di prevenire l'utilizzo di metodi e parametri di trasformazione delle immagini potenzialmente non sicuri.
L'elenco dei metodi consentiti in modalità predefinita contiene tre metodi che permettono di eludere le impostazioni sicure predefinite, abilitando potenziali vulnerabilità di injection di comandi nei casi in cui venga accettato come metodo o parametro di trasformazione valido un input arbitrario fornito dall'utente.
Impatto ------ Questa vulnerabilità colpisce le applicazioni che utilizzano Active Storage con il gem `image_processing` per l'elaborazione delle immagini, oltre a mini_magick come elaboratore di immagini.
Il codice vulnerabile avrà una struttura simile alla seguente: ``` <%= image_tag blob.variant(params[:t] => params[:v]) %>
```
Dove il metodo di trasformazione o i suoi argomenti sono input arbitrari non attendibili.
Tutti gli utenti che eseguono una versione interessata dovrebbero effettuare immediatamente l'aggiornamento oppure applicare uno dei workaround indicati.
Workaround ----------- L'utilizzo dell'input fornito dall'utente per specificare metodi di trasformazione delle immagini o i relativi parametri è un comportamento non supportato e dovrebbe essere considerato pericoloso.
Dovrebbe essere eseguita una convalida rigorosa dei metodi e dei parametri forniti dagli utenti, nonché l'applicazione di una [policy di sicurezza ImageMagick](https://imagemagick.org/script/security-policy.php) robusta.
Crediti -------
Grazie a [lio346](https://hackerone.com/lio346) per aver segnalato questo problema!
If you want to get best quality of vulnerability data, you may have to visit VulDB.