Rails 修复 Active Storage 任意文件写入漏洞

Rails 项目披露并修复了 Active Storage 中的严重漏洞（GHSA-f3w6-w445-fwh9，CVSS 9.8）：未认证攻击者可通过文件上传在应用服务器上写任意文件，可能导致远程代码执行。 该漏洞影响同时满足以下条件的应用：接受不可信用户的文件上传、使用 ImageMagick 处理 Active Storage 图像，且其 ImageMagick 安全策略未屏蔽相关 coder。在使用 Disk 服务的情况下，攻击者还可读取 secret_key_base 等凭据。 Rails 已在 8.1.4.1 和 8.0.5.2 版本中修复此漏洞，受影响应用应升级。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。