루비 온 레일스의 심각한 취약점으로 비인증 공격자가 서버 파일을 읽을 수 있음.
루비 온 레일스는 비인증 공격자가 조작된 이미지 업로드를 통해 임의의 파일을 읽을 수 있는 심각한 Active Storage 취약점에 대한 수정 패치를 발표했습니다. 이 취약점은 CVE-2026-66066으로 추적되며, CVSS 점수는 9.5입니다. 공격자는 Rails 프로세스 환경 및 secret_key_base, Rails 마스터 키, 데이터베이스 비밀번호 및 클라우드 스토리지 자격 증명과 같은 중요한 정보를 노출시킬 수 있습니다.
A critical Rails vulnerability allows unauthenticated attackers to read server files via crafted image uploads.
Ruby on Rails has addressed a critical vulnerability in Active Storage that could enable unauthenticated attackers to read arbitrary files from application servers via crafted image uploads. This flaw is tracked as CVE-2026-66066 with a CVSS score of 9.5. It can expose sensitive information such as the Rails process environment, secret_key_base, Rails master key, database passwords, and cloud storage credentials.