CVE-2026-33195 in activestorage
要約
〜によって VulDB • 2026年06月12日
Active Storageを使用すると、Railsアプリケーションでクラウドおよびローカルのファイルにアタッチすることができます。バージョン8.1.2.1、8.0.4.1、および7.2.3.1より前のActive Storageでは、`DiskService#path_for`が解決されたファイルシステムパスがストレージのルートディレクトリ内に留まっていることを検証していません。パストラバーサルシーケンス（例：`../`）を含むblobキーが使用されると、サーバー上の任意のファイルの読み取り、書き込み、または削除を許可する可能性があります。blobキーは信頼できる文字列であることが想定されていますが、一部のアプリケーションではユーザー入力をキーとして渡している場合があり、影響を受けます。バージョン8.1.2.1、8.0.4.1、および7.2.3.1にはパッチが含まれています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.