PT-2026-144761
CVE-2026-126085
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Active Storage الإصدارات السابقة لـ 8.1.4.1
Active Storage الإصدارات السابقة لـ 8.0.5.2
Description
تتأثر التطبيقات التي تستخدم Google Cloud Storage لعمليات التحميل المباشر بمشكلة حيث تفشل الدالة
url for direct upload في ActiveStorage::Service::GCSService في ربط طول المحتوى المعلن في رابط التحميل المباشر الموقع. بالإضافة إلى ذلك، فإن الدالة headers for direct upload لا تعيد أي قيود على الطول، مما يسمح للرابط بتفويض جسم تحميل بأي حجم. يمكن للعميل تحميل ملف أكبر من byte size المعلن عنه، مما قد يؤدي إلى تجاوز عمليات التحقق من حجم الملف وحصص التطبيق.Recommendations
التحديث إلى الإصدار 8.1.4.1 أو أحدث.
التحديث إلى الإصدار 8.0.5.2 أو أحدث.
تأكد من أن تكوين CORS الخاص بـ Google Cloud Storage bucket يتضمن
x-goog-content-length-range في responseHeader لمنع فشل عمليات التحميل المباشرة عبر المتصفح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾