Veille sécuritéBackend & données
P3Critique
Dans Active Storage, l’analyse d’une pièce jointe par ImageMagick sans politique de sécurité adéquate peut permettre la lecture ou l’écriture de fichiers accessibles au serveur. Les applications qui acceptent des téléversements non fiables et utilisent ce chemin de traitement doivent appliquer le correctif.
Ruby
IdentifiantCVE-2026-122006
GravitéCritique
Exploitationnon connue / non déterminée
Correctifactivestorage 8.1.4.1 ou 8.0.5.2; MiniMagick 5.1 ou ultérieur est requis pour le correctif utilisant MiniMagick.
Source : NVD — CVE-2026-122006
Analyse technique
Le traitement ImageMagick des pièces jointes peut permettre des opérations de lecture et d’écriture côté serveur; l’exposition dépend notamment de la configuration du traitement d’images.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04 à 15:17:42.940Z, dans la période demandée. L’avis du projet Ruby on Rails et les versions corrigées sont également datés du 4 novembre.
ImpactLecture ou écriture de fichiers côté serveur; selon la configuration, des données sensibles accessibles à l’application peuvent être exposées.
Versions affectéesactivestorage antérieur à 8.1.4.1; les versions 8.0 antérieures à 8.0.5.2 sont également signalées comme affectées.
Version corrigéeactivestorage 8.1.4.1 ou 8.0.5.2; MiniMagick 5.1 ou ultérieur est requis pour le correctif utilisant MiniMagick.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Publication2026-11-04T15:17:42.940Z
Mise à jour2026-11-04T21:18:07.027Z
Détection / vérification
Vérifier la version d’Active Storage, le processeur d’images configuré et l’utilisation d’ImageMagick pour traiter des fichiers téléversés.
Action recommandée
Mettre à niveau Active Storage vers une version corrigée et vérifier la configuration effective d’ImageMagick. Si l’application est concernée, examiner les fichiers et secrets accessibles au processus.
Sources
Priorisation DFS : P3 · 1 source(s).