CVE-2026-33195 in activestorage
Sumário
de VulDB • 15/06/2026
O Active Storage permite que os usuários anexem arquivos locais e em nuvem em aplicações Rails. Antes das versões 8.1.2.1, 8.0.4.1 e 7.2.3.1, o método `DiskService#path_for` do Active Storage não valida se o caminho do sistema de arquivos resolvido permanece dentro do diretório raiz de armazenamento. Se uma chave de blob contendo sequências de traversal de caminho (por exemplo, `../`) for utilizada, isso poderá permitir a leitura, gravação ou exclusão de arquivos arbitrários no servidor. As chaves de blob são consideradas strings confiáveis, mas algumas aplicações podem estar passando entrada do usuário como chaves, ficando assim afetadas. As versões 8.1.2.1, 8.0.4.1 e 7.2.3.1 contêm um patch.
If you want to get best quality of vulnerability data, you may have to visit VulDB.