Vulnerabilidade crítica no Active Storage do Rails permite acesso não autorizado
Uma vulnerabilidade crítica foi identificada no framework Active Storage do Ruby on Rails, permitindo que atacantes não autenticados leiam arquivos arbitrários de aplicações Rails e, potencialmente, executem código remotamente (RCE). A falha, identificada como CVE-2026-66066, é explorável quando a biblioteca de processamento de imagens libvips é utilizada, possibilitando que um atacante faça upload de uma imagem especialmente manipulada em uma aplicação vulnerável. Para que o ataque seja bem-sucedido, o servidor deve permitir uploads de imagens de usuários não confiáveis. A vulnerabilidade afeta versões do Active Storage anteriores a 7.2.3.2, 8.0.x antes de 8.0.5.1 e 8.1.x antes de 8.1.3.1. O time do Rails recomenda a atualização para a versão 8.13 ou superior do libvips e a rotação de chaves e credenciais sensíveis. Embora a libvips seja a biblioteca padrão em imagens Docker do Rails, usuários do ImageMagick não são afetados. A empresa de segurança Akamai alertou sobre o potencial de RCE da vulnerabilidade, destacando que a exposição da chave secreta da aplicação pode permitir que atacantes forjem cookies de sessão e manipulem dados. A vulnerabilidade foi descoberta por pesquisadores da Ethiack e da GMO Flatt Security Inc.