Platform
ruby
Component
activestorage
Opgelost in
8.1.1
8.0.1
7.2.4
8.1.2.1
De Active Storage DiskService in Ruby on Rails heeft een kwetsbaarheid voor Path Traversal. Deze kwetsbaarheid treedt op doordat DiskService#path_for de bestandsysteempaden niet valideert, waardoor een aanvaller mogelijk bestanden buiten de toegewezen opslagroot kan lezen, schrijven of verwijderen. Dit probleem beïnvloedt versies van Active Storage tot en met 8.1.2 en is verholpen in versie 8.1.2.1.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerd toegang te krijgen tot bestanden op de server. Dit kan variëren van het uitlezen van gevoelige configuratiebestanden tot het overschrijven van systeembestanden, wat kan leiden tot een volledige compromittering van de server. De ernst van de impact hangt af van de privileges van de gebruiker die de Active Storage service draait en de gevoeligheid van de bestanden die op de server zijn opgeslagen. Het is vergelijkbaar met scenario's waarbij een aanvaller via een onvoldoende gevalideerde input paden kan manipuleren om toegang te krijgen tot gebieden buiten de beoogde directory.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er is geen informatie over actieve exploits in de wildernis op het moment van publicatie. De kwetsbaarheid is gemeld door een Hackerone onderzoeker. De NVD publicatiedatum is 2026-03-23.
Applications built with Ruby on Rails that utilize Active Storage and accept user-provided data as blob keys are at significant risk. This includes e-commerce platforms allowing users to upload images, content management systems with user-generated content, and any application where user input is directly incorporated into Active Storage blob keys without proper sanitization.
• ruby / server:
find /path/to/rails/app/models -name '*.rb' -print0 | xargs -0 grep -i 'DiskService#path_for'• ruby / server:
journalctl -u puma -g 'ActiveStorage::DiskService#path_for' | grep '../'• generic web:
curl -I 'https://example.com/active_storage/blobs/some_malicious_key../sensitive_file' disclosure
Exploit Status
EPSS
0.03% (9% percentiel)
CISA SSVC
De primaire mitigatie is het upgraden naar Ruby on Rails Active Storage versie 8.1.2.1 of hoger. Indien een upgrade momenteel niet mogelijk is, overweeg dan om de blob keys te valideren en te sanitiseren om ervoor te zorgen dat ze geen path traversal sequences (zoals ../) bevatten. Implementeer een Web Application Firewall (WAF) met regels die pogingen tot path traversal detecteren en blokkeren. Controleer de toegangsrechten van de Active Storage opslagdirectory om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben.
Actualice Active Storage a la versión 8.1.2.1, 8.0.4.1 o 7.2.3.1, o superior, según corresponda a su versión de Rails. Esto corrige la vulnerabilidad de path traversal en DiskService.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-33195 is a Path Traversal vulnerability in Ruby on Rails Active Storage versions 8.1.2 and earlier, allowing attackers to potentially read, write, or delete arbitrary files.
You are affected if you are using Ruby on Rails Active Storage version 8.1.2 or earlier. Upgrade to 8.1.2.1 or later to mitigate the risk.
Upgrade to Ruby on Rails Active Storage version 8.1.2.1 or later. As a temporary workaround, validate blob keys to prevent path traversal sequences.
As of the public disclosure date, there is no evidence of active exploitation in the wild.
Refer to the official Ruby on Rails security advisories for detailed information and updates: [https://github.com/rails/rails/security/advisories/GHSA-xxxx-xxxx-xxxx](https://github.com/rails/rails/security/advisories/GHSA-xxxx-xxxx-xxxx)
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je Gemfile.lock-bestand en we vertellen je direct of je getroffen bent.