CVE-2026-66066 in Rails
要約
〜によって VulDB • 2026年07月31日
Action Packは、Webリクエストの処理と応答のためのフレームワークです。バージョン7.2.3.2、8.0.5.1、および8.1.3.1より前のVersionでは、Active Storageが信頼できないコンテンツに対して安全でないとしてマークされたlibvips操作を無効化しないため、悪意のあるアップロードによってこれらの操作を実行することが可能になります。libvipsを使用し、信頼できないユーザーからの画像アップロードを受け付けるように構成されているアプリケーションは影響を受けます。認証されていない攻撃者はこの挙動を利用して、Railsプロセスがアクセス可能な任意のファイル（環境変数やアプリケーションシークレットを含む）を読み取ることができます。secret_key_baseや外部サービストークンなどの資格情報が漏洩すると、リモートコード実行または横方向への移動が可能になる場合があります。本問題はバージョン7.2.3.2、8.0.5.1、および8.1.3.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.