oktsec
Revisión gratuita de flujosContactanos
Radar
Recibir alertas

Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.

Todos los avisosVulnerabilidad
Hablar con Oktsec
Ruby on Rails

Active Storage · ImageMagick

Actualizado 5 nov 2026
Actuar ahoraAtaques no establecidos

Seguí las novedades de seguridad

Alertas prioritarias y resúmenes de Radar por correo.

Aviso de seguridad

A critical Active Storage flaw can permit file writes and, with Disk storage, reads under application permissions. Exposure requires ImageMagick, a permissive coder policy and untrusted uploads.

Quiénes deben revisar: Teams operating Rails applications with Active Storage uploads.

Acción recomendadaCorrección disponible

Upgrade Active Storage to 8.0.5.2 or 8.1.4.1 and verify the ImageMagick policy. Affected Disk deployments must also rotate application secrets.

Revisar sistemas afectadosArmar un plan de respuesta

¿Cuál es la vulnerabilidad y su impacto?

GHSA-f3w6-w445-fwh9 has no assigned CVE at this review. Arbitrary file access can expose secrets and lead to code execution; it does not mean every Rails application is affected or that attacks have been confirmed.

The correction adds an ImageMagick policy to commands launched by MiniMagick. It supplements the host policy and applies beyond Active Storage. Configuration overrides and document processing therefore need explicit verification.

Oktsec recommends testing startup and upload processing on the deployed application, then recording the running package versions and policy configuration. Installing a package is only one part of that check.

Proveedor / autor
Ruby on Rails
Acceso necesario
Depende de la aplicación o configuración
Severidad del proveedor
9.8 · CVSS 3.0
Divulgado
4 nov 2026
Última revisión de evidencia
5 nov 2026 UTC

¿Qué sistemas y versiones están afectados?

ProductoAfectadoVersión corregida / acción
activestorage< 8.0.5.2; >= 8.1 and < 8.1.4.1. The configuration conditions also apply.8.0.5.28.1.4.1

Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.

¿Qué se sabe de la explotación?

Ataques observados

Ataques no establecidos

Fundamento de la prioridad

Prioritize applications that accept untrusted uploads through the affected ImageMagick configuration. The advisory does not establish active attacks.

¿Qué implica para los entornos de IA?

Oktsec recommends including credentials for connected automation services in the recovery inventory.

Fuentes de este aviso

Abrir evidencia de respaldo y registro técnico
Historial editorial1 entrada

Added scope, evidence and response guidance from the official notices.

Acciones de respuesta

Prepará tu respuesta

0 de 5 acciones registradas como completadas

Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.

Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.

1. Evaluá si aplica a tu entorno

Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».

Evaluación de aplicabilidadSin evaluar

2. Registrá la respuesta

Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.

  1. Confirm the upload path

    Check variant_processor = :mini_magick, the effective ImageMagick policy and whether untrusted users can attach files. Attaching a file can invoke analysis without an explicit variant request.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  2. Upgrade and verify startup

    Deploy the corrected Active Storage branch with mini_magick 5.1 or later. Older mini_magick causes affected applications to fail at boot.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  3. Verify that the policy reaches ImageMagick

    Custom MiniMagick.cli_env, cli_prefix or Shell implementations can bypass the bundled policy. Check the system policy in these deployments; GraphicsMagick does not read ImageMagick policies.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  4. Rotate secrets for affected Disk deployments

    Replace secret_key_base, the master key, encrypted credential contents and other secrets readable by the application. Do not retain exposed keys as fallbacks.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  5. Test document processing

    The fix restricts coders and Ghostscript. Test PDF and PostScript workflows; review any exception against the official release guidance before enabling it.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

3. Compartí el plan

Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.

Este plan no se envía a Oktsec. Tu equipo declara los estados y la evidencia.

VERIFICÁ TU ENTORNO

Sistemas afectados y correcciones

Abrir plan de respuesta

Compará la versión en ejecución y la configuración con las indicaciones del proveedor.

ProductoAfectadoVersión corregida / acción
activestorage< 8.0.5.2; >= 8.1 and < 8.1.4.1. The configuration conditions also apply.8.0.5.28.1.4.1

Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.

Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES

Evidencia y fuentes

Revisado 5 nov 2026 UTC

Por qué tiene esta prioridad

Prioritize applications that accept untrusted uploads through the affected ImageMagick configuration. The advisory does not establish active attacks.

Criterios de prioridad

Fuentes

Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.

  1. GHSA-f3w6-w445-fwh9: scope and credential recoveryRuby on Rails · Aviso del proveedor · Revisado 5 nov 2026 UTC
  2. Rails 8.1.4.1: ImageMagick policy and compatibility changesRuby on Rails · Aviso del proveedor · Revisado 5 nov 2026 UTC
  3. Rails 8.0.5.2: corrected branch releaseRuby on Rails · Aviso del proveedor · Revisado 5 nov 2026 UTC
Registro técnicoProductos, identificadores y detalles de respaldo
Registro del incidente
Producto / servicioActive Storage, ImageMagickRuby on Rails
Evidencia de explotación
Ataques no establecidos
Acceso necesarioDepende de la aplicación o configuración
Severidad del proveedor9.8CVSS 3.0
Corrección / respuesta
Corrección disponibleVersiones afectadas y correcciones
Divulgado
4 nov 2026
Registro revisado
5 nov 2026 UTC

Para entornos con agentes de IA

Oktsec recommends including credentials for connected automation services in the recovery inventory.