O Ruby on Rails corrigiu uma vulnerabilidade crítica que permitia que atacantes não autenticados lessem arquivos e alcançassem execução de código remoto. A vulnerabilidade, rastreada como CVE-2026-66066, tem uma pontuação de CVSS de 9,5 e afeta a funcionalidade de armazenamento ativo do framework.
Detalhes Técnicos
A vulnerabilidade permite que atacantes não autenticados leiam arquivos arbitrários de servidores vulneráveis por meio de uploads de imagens criados.
Em configurações padrão, aplicações que geram variantes de imagens podem expor informações sensíveis do ambiente de processo do Rails.
A exploração bem-sucedida pode levar à exposição de segredos, como a chave mestra do Rails e credenciais de armazenamento em nuvem.
Ações Recomendadas
Atualize o Ruby on Rails para a versão corrigida o mais rápido possível.
Verifique se as aplicações estão configuradas para gerar variantes de imagens e ajuste as configurações conforme necessário.
Monitore os logs de aplicações em busca de atividade suspeita.
Fonte: The Hacker News, publicado em 29 de julho de 2026.
