Le 4 novembre 2026, l’équipe Ruby on Rails a publié les versions 8.0.5.2 et 8.1.4.1 pour corriger 21 problèmes de sécurité. La priorité concerne notamment les applications qui acceptent des fichiers d’utilisateurs : leur traitement peut ouvrir un accès aux fichiers du serveur. Les responsables du projet recommandent une mise à jour rapide. [1]
Une pièce jointe déclenche déjà du traitement
Active Storage est le composant de Rails qui associe des fichiers aux données d’une application. Il peut stocker une image, en produire une version réduite ou préparer l’aperçu d’un document et d’une vidéo. Ces opérations utilisent des logiciels externes, notamment ImageMagick pour les images et FFmpeg pour certains contenus audiovisuels. [2]Un exemple pédagogique permet de comprendre l’enjeu : sur un service qui accepte une photographie de profil, le serveur peut analyser le fichier dès son envoi. L’absence de bouton « retoucher » ne signifie donc pas que le contenu reste simplement entreposé.
Une faille critique sous des conditions précises
L’avis GHSA-f3w6-w445-fwh9, noté 9,8 sur 10, concerne les applications qui acceptent des fichiers non fiables et emploient ImageMagick via MiniMagick sans politique bloquant les fonctions dangereuses. Un fichier spécialement construit peut permettre une écriture arbitraire sur le serveur. Avec le stockage Disk, une lecture de fichiers accessibles à l’application devient également possible. [3]Le problème vient des fonctions qu’ImageMagick peut sélectionner à partir du contenu reçu. Certaines agissent sur d’autres fichiers. L’analyse automatique suffit à les atteindre. Les correctifs ajoutent une politique de sécurité restrictive ; MiniMagick 5.1 ou supérieur est nécessaire pour l’appliquer. Les configurations personnalisées et les traitements PDF ou PostScript demandent une vérification particulière de compatibilité. [3]
L’avis décrit une chaîne d’attaque signalée aux mainteneurs, sans annoncer une campagne d’exploitation en cours. Le niveau critique exprime la gravité potentielle ; il ne prouve pas que chaque installation a été compromise. [3]
Les vidéos et les secrets doivent aussi être examinés
Un second avis, GHSA-v924-7rp8-4mxh, vise le choix du décodeur à partir de l’extension d’un fichier envoyé. Certains assemblages de FFmpeg compatibles avec AviSynth peuvent alors lire des fichiers ou exécuter du code. Cette chaîne dépend de composants supplémentaires : toutes les installations FFmpeg ne sont pas concernées de la même manière. [4]Corriger le logiciel ne répare pas une divulgation déjà survenue. Les avis demandent de renouveler les secrets potentiellement exposés dans les configurations concernées, notamment les clés de l’application et ses identifiants d’accès à d’autres services. Le changement de certaines clés invalide aussi des sessions et des liens signés : il faut en tenir compte lors du déploiement. [3, 4]
Pour les équipes encore sur Rails 8.0, une autre échéance approche : son support de sécurité prend fin le 7 novembre 2026. La branche 8.1 reste couverte jusqu’au 10 octobre 2027. Installer le correctif immédiat et préparer la migration relèvent donc de deux besoins complémentaires. [5]
Sources
[1] Versions de sécurité — Mike Dalessio, Ruby on Rails, 4 novembre 2026. [2] Guide Active Storage — Ruby on Rails, documentation sans date affichée. [3] Avis sur les images — équipe Rails, 4 novembre 2026. [4] Avis sur les aperçus vidéo — équipe Rails, 4 novembre 2026. [5] Politique de maintenance — Ruby on Rails, sans date affichée. Sources consultées le 5 novembre 2026.Photo d’archive : David Heinemeier Hansson lors de la conférence O’Reilly Emerging Technology en 2006, en illustration de l’écosystème Rails. « David Heinemeier Hansson » — James Duncan Davidson / O’Reilly Media, Inc., CC BY 2.0. Fichier original importé sans modification ; l’affichage du site peut le recadrer. Original de la photo · Copie sur Commons · Licence photo.
