dev.to | 📄 原文链接 | 2026-11-05 收录

Rails 一次修了 21 个安全问题，用 ImageMagick 的先看这条

来源：dev.to — 2026-11-04

📋 概述

Rails 8.0.5.2 与 8.1.4.1 修复 21 个安全问题：1 个严重、4 个高危、13 个中危、3 个低危。最要紧的是 Active Storage 图片分析漏洞（CVSS 9.8）：ImageMagick 会按文件内容选解码器，某些解码器会去读图片内部指定的其它文件，而 Active Storage 没有限制，攻击者上传一个构造好的文件就可能写任意文件，甚至读到 secret_key_base。此外视频预览会把上传文件的扩展名带给 ffprobe/ffmpeg，在启用 AviSynth 的构建上可能被执行成脚本。文章给出受影响判定条件、自查命令与升级后可能破坏的兼容点。

🔑 核心要点

严重项 CVSS 9.8：只要应用用 mini_magick 处理不可信上传，附加一个构造文件即可触发任意文件读写。
受影响需同时满足三点：variant_processor 为 mini_magick、安全策略未禁 MSL 与 PDF 等解码器、允许不可信用户上传。
高危项来自 Active Storage 保留上传文件扩展名交给 ffprobe/ffmpeg，攻击者据此影响选用哪个解码器，AviSynth 构建下可导致 RCE。
8.0 系列的安全支持在 11 月 7 日结束，本批也没有 7.2 版本，官方建议至少升到 8.0 并规划迁往 8.1。

💡 金句

“If your app accepts file uploads and uses ImageMagick, start with the critical one, because attaching a crafted file is enough to trigger it.”
译：如果你的应用接受文件上传并且使用 ImageMagick，请先从那个严重漏洞改起，因为仅仅附加一个构造过的文件就足以触发它。

← 返回 dev.to 首页