CVE-2026-126186

Nome do Software Vulnerável e Versões Afetadas activestorage versões anteriores a 8.0.5.2 activestorage versões 8.1 até 8.1.4.0

Description O método ActiveStorage::Blob#open grava um blob em um arquivo temporário usando a extensão do nome do arquivo enviado. Esse caminho é então passado para o ffprobe (usado por VideoAnalyzer e AudioAnalyzer), ffmpeg (usado por VideoPreviewer) e ImageMagick (usado por ImageAnalyzer através do processador de variante :mini magick). Como essas ferramentas podem selecionar um decodificador com base na extensão do arquivo quando o formato do conteúdo não é autoidentificável, um invasor pode controlar qual decodificador processa o upload manipulando o nome do arquivo e o tipo de conteúdo declarado.

Por exemplo, se o FFmpeg for compilado com suporte ao AviSynth, um arquivo com a extensão .avs é tratado como um script AviSynth. Isso pode levar à divulgação de arquivos legíveis pelo processo da aplicação ou ao carregamento de uma biblioteca nativa maliciosa, resultando potencialmente em execução remota de código no processo do FFmpeg. O ImageMagick seleciona codificadores e delegados de forma semelhante com base na extensão.

Recommendations Atualize o activestorage para a versão 8.0.5.2 ou posterior. Atualize o activestorage para a versão 8.1.4.1 ou posterior. Como solução temporária, remova ActiveStorage::Previewer::VideoPreviewer de config.active storage.previewers, e remova ActiveStorage::Analyzer::VideoAnalyzer e ActiveStorage::Analyzer::AudioAnalyzer de config.active storage.analyzers para impedir que o FFmpeg seja executado em arquivos enviados. Se o ambiente utilizar uma compilação do FFmpeg com suporte ao AviSynth, altere todos os segredos legíveis pelo processo da aplicação, incluindo secret key base, a chave mestre, o conteúdo de config/credentials.yml.enc, credenciais de serviço do Active Storage, credenciais de banco de dados e tokens de serviços de terceiros.