БХ

Белый Хакер

IT и технологии · 6 ноября 2026 г.

Открыть канал в MAX

🎤 С виду — картинка, внутри — сценарий для записи на диск. Критическая дыра в Rails оц...

🎤 С виду — картинка, внутри — сценарий для записи на диск. Критическая дыра в Rails оценена в 9,8 балла Файл под видом изображения может заставить веб-сервер записать данные в выбранное атакующим место. Разработчики Ruby on Rails закрыли критическую ошибку в Active Storage, компоненте для загрузки вложений. Злоумышленнику не требуется учетная запись, если приложение принимает файлы от посторонних пользователей и обрабатывает изображения через ImageMagick. Команда Rails раскрыла проблему 4 ноября под идентификатором GHSA-f3w6-w445-fwh9. Уязвимость получила критическую оценку 9,8 балла по CVSS 3.0, номер CVE самому дефекту пока не присвоен. При определенной конфигурации Active Storage позволяет записывать файлы в произвольные места, а при локальном хранении вложений еще и читать доступные приложению данные. 🎤 Ссылка на чтиво White Hat / max.ru/kind_hack