פרויקט Ruby on Rails פרסם התרעה על חולשה קריטית (CVSS 9.8) ב-Active Storage, הרכיב שמטפל בהעלאת קבצים. לפי ההתרעה, באפליקציות שמעבדות העלאות באמצעות ImageMagick, תוקף שאינו מחובר יכול לכתוב קבצים שרירותיים לשרת על ידי העלאת קובץ מעוצב. באפליקציות ששומרות את הקבצים בדיסק של השרת (Disk service), התוקף יכול גם לקרוא כל קובץ שהאפליקציה יכולה לקרוא.
לפי Rails, קבצים כאלה כוללים בדרך כלל את secret_key_base ואת פרטי הגישה של האפליקציה למערכות אחרות, וחשיפתם עלולה להוביל להרצת קוד מרחוק או לתנועה רוחבית. די בצירוף הקובץ שהועלה כדי להגיע לחולשה. לחולשה עדיין אין מזהה CVE (היא מסומנת GHSA-f3w6-w445-fwh9), וההתרעה לא מציינת אם היא נוצלה. את הדיווח העביר החוקר RyotaK מ-GMO Flatt Security.
מה לעשות: לעדכן לגרסה 8.1.4.1 או 8.0.5.2. כל גרסאות Active Storage שלפניהן פגיעות, ולסדרות שלפני 8.0 לא יצאו תיקונים כי הן כבר לא נתמכות. כדי לבדוק אם האפליקציה משתמשת ב-ImageMagick, בודקים את ההגדרה config.active_storage.variant_processor. אותן גרסאות מתקנות גם חולשה שנייה ב-Active Storage בדרגת חומרה גבוהה (8.8).