CVE-2026-126085

Nome do Software Vulnerável e Versões Afetadas Active Storage versões anteriores a 8.1.4.1 Active Storage versões anteriores a 8.0.5.2

Description Aplicações que utilizam o Google Cloud Storage para uploads diretos são afetadas por um problema em que a função url for direct upload em ActiveStorage::Service::GCSService não vincula o comprimento de conteúdo declarado na URL assinada de upload direto. Além disso, a função headers for direct upload não retorna nenhuma restrição de comprimento, permitindo que a URL autorize um corpo de upload de qualquer tamanho. Um cliente poderia fazer o upload de um arquivo maior do que o byte size declarado, o que pode permitir a evasão de validações de tamanho de arquivo e cotas da aplicação.

Recommendations Atualize para a versão 8.1.4.1 ou posterior. Atualize para a versão 8.0.5.2 ou posterior. Certifique-se de que a configuração CORS do bucket do Google Cloud Storage inclua x-goog-content-length-range no responseHeader para evitar falhas no upload direto via navegador.