Rails: fallo crítico en la subida de imágenes

Ruby on Rails publicó el 4 de noviembre de 2026 un aviso de seguridad crítico, con nota 9,8 sobre 10, en Active Storage, la parte que gestiona los archivos subidos. Afecta a aplicaciones que procesan imágenes con ImageMagick y aceptan subidas de cualquiera. Las versiones corregidas son la 8.1.4.1 y la 8.0.5.2.

Lo que se sabe

  • Qué puede pasar: según el aviso de Rails, un atacante sin cuenta podría escribir archivos en el servidor. Si los adjuntos se guardan con el servicio Disk (en el propio disco del servidor), también podría leer los archivos a los que tiene acceso la aplicación, entre ellos claves y credenciales.
  • Cuándo te afecta: el aviso pide que se cumplan las tres a la vez: la aplicación usa ImageMagick para las imágenes de Active Storage; la política de seguridad de ImageMagick del servidor no bloquea ciertos formatos (el aviso dice que las que traen Debian y Ubuntu no lo hacen); y la aplicación deja subir archivos a usuarios no fiables.
  • Qué versiones: activestorage anterior a 8.0.5.2, y la rama 8.1 anterior a 8.1.4.1. Las ramas anteriores a la 8.0 ya no reciben soporte de Rails.
  • Quién lo encontró: el aviso lo atribuye al investigador ryotak, a través de HackerOne. Según The Hacker News, trabaja en GMO Flatt Security.
  • Si hay ataques: el aviso no dice que se esté explotando. Sí dice que se informó de una forma concreta de ataque y que los mantenedores no dan por hecho que sea la única.
  • Otro fallo en las mismas versiones: The Hacker News cita un segundo aviso de Rails, de gravedad alta (8,8), sobre los nombres de los archivos temporales, corregido también en 8.1.4.1 y 8.0.5.2.

Qué cambia y qué no

  • Cambia para quien tiene una aplicación Rails que procesa imágenes subidas por clientes, usuarios o visitantes: hay que actualizar ya o, si no se puede, endurecer la política de ImageMagick como indica el aviso.
  • Las aplicaciones antiguas, en especial: ImageMagick es el procesador por defecto en las aplicaciones configuradas con `load_defaults 6.1` o anterior. Según The Hacker News, desde Rails 7.0 el valor por defecto es otro (vips), así que una aplicación más nueva puede no estar expuesta, salvo que alguien lo cambiara; la guía oficial de Active Storage solo dice que depende de `load_defaults`.
  • No cambia para las webs hechas con WordPress, Drupal u otros gestores: es un fallo de Rails, no de ImageMagick en general.

Cómo saber si te afecta

Si mantienes la aplicación:

  1. ¿Usa ImageMagick? Busca `variant_processor` en la configuración. Si dice `:mini_magick`, o la aplicación arrancó con `load_defaults 6.1` o anterior y no lo cambia, la respuesta es sí.
  2. ¿Deja subir archivos a cualquiera? Formularios de contacto con adjunto, fotos de perfil, documentos de clientes: si un usuario no fiable puede subir algo, la respuesta es sí.
  3. Si las dos son sí, actualiza hoy a 8.1.4.1 u 8.0.5.2. El aviso pide además mini_magick 5.1 o posterior.
  4. Si no puedes actualizar todavía, aplica las reglas de bloqueo que da el aviso en la política de ImageMagick del servidor.
  5. Si guardas los adjuntos en el disco del servidor y estuviste expuesto, cambia `secret_key_base` y el resto de claves que la aplicación puede leer. El aviso pide no conservar las viejas.

Si eres el dueño del negocio y otra persona mantiene tu aplicación:

  • Pregunta por escrito: «¿Nuestra aplicación usa Rails y Active Storage con ImageMagick? ¿Ya está en 8.1.4.1 u 8.0.5.2? Si guardamos archivos en el servidor, ¿habéis cambiado las claves?».

Relacionado: Next.js: dos fallos críticos, actualiza a 16.4.1 o 15.5.28

Fuentes

Actualizaciones: si el fallo recibe un identificador CVE o se confirman ataques, se añadirá aquí con su enlace.