أصدر فريق تطوير Ruby on Rails تحديثات أمنية عاجلة لمعالجة ثغرة خطيرة في مكون Active Storage، والتي قد تسمح للمهاجمين غير الموثوقين بقراءة الملفات التعسفية من خوادم التطبيقات عبر رفع صور معدلة بعناية.

تفاصيل الثغرة CVE-2026-66066

الثغرة، التي تحمل الرقم CVE-2026-66066 وحصلت على درجة خطورة 9.5 من 10 وفق نظام CVSS، تستغل آلية معالجة الصور في Active Storage. يمكن للمهاجم إرسال طلب رفع صورة يحتوي على مسار ملف معدل، مما يؤدي إلى تسريب محتويات ملفات حساسة مثل متغيرات البيئة، المفاتيح السرية (secret_key_base)، المفتاح الرئيسي لـ Rails، كلمات مرور قواعد البيانات، وبيانات اعتماد التخزين السحابي.

التأثير المحتمل

نجاح استغلال الثغرة قد يؤدي إلى كشف كامل لأسرار التطبيق، مما يسمح للمهاجم بتزوير الجلسات، فك تشفير البيانات، الوصول غير المصرح به إلى قواعد البيانات، وحتى السيطرة الكاملة على الخادم. الثغرة تؤثر على جميع إصدارات Rails التي تستخدم Active Storage مع معالجة الصور عبر مكتبات مثل ImageMagick أو libvips.

الإجراءات الموصى بها

ينصح جميع المطورين ومسؤولي الأنظمة بتحديث Rails إلى أحدث إصدار فوراً. يتضمن الإصلاح تحسينات في التحقق من صحة مسارات الملفات المرفوعة لمنع تسرب البيانات. كما يُوصى بتدقيق سجلات الخادم للكشف عن أي محاولات استغلال سابقة.

هذه الثغرة تذكرنا بأهمية تحديث التطبيقات باستمرار ومراجعة ممارسات الأمان في معالجة الملفات المرفوعة، خاصة في بيئات الإنتاج.