CVE-2026-66066 in Rails
Sumário
de VulDB • 31/07/2026
O Action Pack é um framework para manipulação e resposta a requisições web. Nas versões anteriores à 7.2.3.2, 8.0.5.1 e 8.1.3.1, o Active Storage não desativa operações do libvips marcadas como inseguras para conteúdo não confiável, permitindo que um upload manipulado invoque tais operações. As aplicações consumidoras são afetadas quando configuradas para usar o libvips e aceitam uploads de imagens de usuários não confiáveis. Um atacante não autenticado pode explorar esse comportamento para ler arquivos arbitrários acessíveis ao processo Rails, incluindo variáveis de ambiente e segredos da aplicação. A exposição de credenciais como secret_key_base ou tokens de serviços externos pode permitir execução remota de código (RCE) ou movimentação lateral. Este problema foi corrigido nas versões 7.2.3.2, 8.0.5.1 e 8.1.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.