# Ruby on Rails с критична уязвимост: обновете до версии 8.1.4.1 и 8.0.5.2

Христо Ласков · 04.11.2026, 16:34 · Уязивмости, експлойти, ъпдейти

Екипът на Ruby on Rails разкри критична уязвимост с оценка 9.8 от 10 по скалата CVSS, която позволява на неавтентикиран нападател да записва и чете произволни файлове на сървъра. Проблемът засяга приложения, обработващи файлове с библиотеката ImageMagick, и е отстранен в новите версии **8.1.4.1** и **8.0.5.2**.

Дефектът се намира в модула Active Storage, управляващ качването на съдържание. Според официалния бюлетин за сигурност (GHSA-f3w6-w445-fwh9), при приложения, използващи дисково съхранение, атакуващите могат да прочетат критични системни файлове, включително ключа secret_key_base и пароли за външни услуги. Това от своя страна отваря път за пълно отдалечено изпълнение на зловреден код (RCE) и компрометиране на свързани системи.

Уязвимостта се задейства веднага при прикачването на файла от анализатора на ImageMagick, без да е необходимо приложението да генерира визуализация или трансформация. Специално подготвен SVG файл може да задейства скриптовия компонент MSL на ImageMagick, който чете и записва посочени файлове. Проблемът е открит и докладван през платформата HackerOne от изследователя РьотаК (RyotaK) от GMO Flatt Security.

За да се защитите:

- обновете незабавно инсталациите на Ruby on Rails до версии 8.1.4.1 или 8.0.5.2;

- прегледайте и затегнете конфигурационния файл с политики на ImageMagick (policy.xml), за да забраните опасни скриптови формати като MSL;

- ротирайте тайните ключове и системните пароли, ако има съмнения за компрометиране на сървъра.

---

Canonical: https://freedomonline.bg/ruby-on-rails-s-kritichna-uyazvimost-obnovete-do-versii-8141-i-8052/