Foi descoberta uma vulnerabilidade crítica no Active Storage do Ruby on Rails que permite que atacantes não autenticados leiam arquivos arbitrários de servidores de aplicativos por meio de uploads de imagens manipuladas. A vulnerabilidade é rastreada como CVE-2026-66066 e possui uma pontuação CVSS de 9.5.
Detalhes Técnicos
A vulnerabilidade permite que atacantes leiam arquivos arbitrários dos servidores de aplicativos.
Pode expor o ambiente do processo Rails e segredos como secret_key_base, a chave mestra do Rails, senhas do banco de dados e credenciais de armazenamento em nuvem.
A CVE-2026-66066 não foi encontrada em fontes de dados como CIRCL ou NVD, portanto, detalhes adicionais sobre produtos afetados não estão disponíveis.
Recomendações
Atualize o Ruby on Rails para a versão corrigida o mais rápido possível.
Verifique se os uploads de imagens estão sendo devidamente validados e sanitizados.
Considere implementar medidas adicionais de segurança para proteger contra ataques de leitura de arquivos.
A próxima etapa recomendada é verificar a versão do Rails em uso e aplicar o patch de segurança imediatamente.
