CVE-2025-24293

# Active Storage izin verilen dönüşüm yöntemleri potansiyel olarak güvensiz Active Storage, varsayılan olarak potansiyel olarak güvensiz görüntü dönüşüm yöntemlerinin ve parametrelerinin kullanılmasını önlemeye çalışır. Varsayılan izin verilenler listesi, güvenli varsayılanların devre dışı bırakılmasına izin veren üç yöntem içerir; bu durum, rastgele kullanıcı tarafından sağlanan girdilerin geçerli dönüşüm yöntemleri veya parametreleri olarak kabul edildiği durumlarda potansiyel komut enjeksiyonu zafiyetlerine yol açabilir. Etki ------ Bu zafiyet, görüntü işlemcisi olarak mini_magick'e ek olarak image_processing gem'ini kullanan Active Storage uygulamlarını etkiler. Zafiyet içeren kod şuna benzer olacaktır: ``` <%= image_tag blob.variant(params[:t] => params[:v]) %> ``` Burada dönüşüm yöntemi veya argümanları, güvenilmeyen rastgele girdilerdir. Etkilenen bir sürümü çalıştıran tüm kullanıcılar ya yükseltme yapmalı ya da derhal geçici çözümlerden birini kullanmalıdır. Geçici Çözümler ----------- Görüntü dönüşüm yöntemleri veya bunların parametreleri için kullanıcı tarafından sağlanan girdilerin tüketilmesi desteklenmeyen bir davranıştır ve tehlikeli olarak değerlendirilmelidir. Kullanıcı tarafından sağlanan yöntemlerin ve parametrelerin sıkı bir doğrulaması yapılmalı ve güçlü bir [ImageMagick güvenlik politikası](https://imagemagick.org/script/security-policy.php) uygulanmalıdır. Katkılar ------- Bunu bildirdiği için [lio346](https://hackerone.com/lio346) teşekkür ederiz!