CVE-2026-66066
Action Pack est un framework pour traiter les requêtes web et y répondre. Dans les versions antérieures à 7.2.3.2, 8.0.5.1 et 8.1.3.1, Active Storage ne désactive pas les opérations libvips marquées comme non sûres pour le contenu non fiable, permettant à un upload malveillant d'invoquer une telle opération. Les applications consommatrices sont affectées lorsqu'elles sont configurées pour utiliser libvips et accepter des uploads d'images provenant d'utilisateurs non fiables. Un attaquant non authentifié peut exploiter ce comportement pour lire des fichiers arbitraires accessibles au processus Rails, y compris les variables d'environnement et les secrets d'application. L'exposition d'identifiants tels que secret_key_base ou des jetons de services externes peut permettre l'exécution de code à distance ou un mouvement latéral. Ce problème a été corrigé dans les versions 7.2.3.2, 8.0.5.1 et 8.1.3.1.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 25 août 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 25 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 13 sept. 2026 3 sept. 2026 31 août 2026 31 août 2026 25 août 2026
Articles liés
VulnérabilitésCVE-2026-66066, la vulnérabilité critique de Ruby on Rails qui expose des secrets et des identifiants
La faille CVE-2026-66066 dans Ruby on Rails permet de lire des fichiers et exposer la clé SECRET_KEY_BASE. Risque d'exécution de code à distance.
VulnérabilitésKindaRails2Shell, attaques actives contre Ruby on Rails : des fichiers téléversés utilisés pour dérober des secrets et des identifiants
CVE-2026-66066 (KindaRails2Shell) exploitée : une image piégée via Active Storage/libvips permet la lecture de fichiers et le vol de secrets Rails.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.