Falla crítica en Rails: un upload con ImageMagick puede escribir archivos en el servidor

CVSS 9.8 en Active Storage. Arreglado en 8.1.4.1 y 8.0.5.2. Con Disk service también se pueden leer secretos.

Una falla crítica en Ruby on Rails permite a un atacante sin autenticar escribir archivos arbitrarios en el servidor si la app procesa subidas con ImageMagick, informó The Hacker News el 4 de noviembre de 2026.

El fallo está en Active Storage (GHSA-f3w6-w445-fwh9, CVSS 9.8). Rails lo cerró en las versiones 8.1.4.1 y 8.0.5.2. Si la app usa el servicio Disk, el atacante también puede leer archivos que la app lee, incluidos secret_key_base y credenciales.

Basta con adjuntar el archivo: no hace falta generar variantes. Un SVG que dispara el coder MSL de ImageMagick es una de las cadenas reportadas. Afecta apps con variant_processor :mini_magick, política ImageMagick laxa y uploads de usuarios no confiables.

Fuente: The Hacker News: «Critical Rails Flaw Lets Attackers Write Server Files via Crafted ImageMagick Uploads», 4 de noviembre de 2026.