CVE-2026-33195
Açıklama
Active Storage, kullanıcıların Rails uygulamalarında bulut ve yerel dosyaları eklemesine olanak tanır. 8.1.2.1, 8.0.4.1 ve 7.2.3.1 versiyonlarından önce, Active Storage'ın `DiskService#path_for` metodu, çözümlenen dosya sistemi yolunun depolama kök dizini içinde kaldığını doğrulamamaktadır. Yol atlama (path traversal) dizileri (örneğin `../`) içeren bir blob anahtarı kullanılırsa, sunucudaki rastgele dosyaların okunmasına, yazılmasına veya silinmesine izin verilebilir. Blob anahtarlarının güvenilir dizeler olması beklenir, ancak bazı uygulamalar kullanıcı girişlerini anahtar olarak aktarıyor olabilir ve bu durumdan etkilenebilir. 8.1.2.1, 8.0.4.1 ve 7.2.3.1 versiyonları bir yama içermektedir.
Nasıl düzeltilir
- rubyonrails rails7.2.3.1, 8.0.4.1, 8.1.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rubyonrails rails | v < 7.2.3.1, 8.0.0 ≤ v < 8.0.4.1, 8.1.0 ≤ v < 8.1.2.1 | 7.2.3.1, 8.0.4.1, 8.1.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.