Rails 修复 Active Storage 严重漏洞：攻击者可经 ImageMagick 精心构造上传写任意服务器文件
Critical Rails Flaw Lets Attackers Write Server Files via Crafted ImageMagick Uploads
AI 导读
Rails 披露并修复 Active Storage 中的严重漏洞（GHSA-f3w6-w445-fwh9，CVSS 9.8），未认证攻击者可在使用 ImageMagick 处理上传的应用服务器上写任意文件，使用 Disk 服务时还可读取 secret_key_base 等凭据，可能导致远程代码执行。
推荐理由
Rails 9.8 分严重漏洞影响大量默认配置应用，文中给出受影响条件判断、版本要求、策略验证命令与无法升级时的最低缓解措施，对自托管 Rails 小团队有直接处置价值。
来源：The Hacker News · thehackernews.com