CVE-2021-33564

Versões da gem Dragonfly anteriores à 1.4.0

Uma falha de injeção de argumentos permite que invasores remotos leiam e gravem em arquivos arbitrários por meio de uma URL maliciosa quando a opção verify url está desativada, podendo levar à execução de código. Isso ocorre porque os recursos de geração e processamento tratam incorretamente o uso do utilitário convert do ImageMagick.

Para versões do gem Dragonfly anteriores à 1.4.0, atualize para a versão 1.4.0 ou posterior para resolver o problema. Como solução temporária, considere habilitar a opção verify url para minimizar o risco de exploração. Restrinja o acesso aos recursos de geração e processamento até que a atualização seja aplicada.