Betroffen ist Action Pack, das Framework zur Verarbeitung und Beantwortung von Web-Anfragen in Rails-Anwendungen. Der Fehler liegt darin, dass Active Storage bestimmte Bildverarbeitungs-Operationen der Bibliothek libvips nicht abschaltet, obwohl diese für nicht vertrauenswürdige Inhalte als unsicher gelten. Lädt ein Angreifer eine speziell präparierte Datei hoch, kann er genau eine solche Operation auslösen. Betroffen sind Anwendungen, die libvips nutzen und Bild-Uploads von beliebigen, nicht vertrauenswürdigen Nutzern annehmen. Ein Angreifer benötigt dafür keine Anmeldung und kann beliebige Dateien auslesen, auf die der Rails-Prozess Zugriff hat – darunter Umgebungsvariablen und Anwendungsgeheimnisse. Werden dabei zentrale Schlüssel oder Zugangstoken für externe Dienste offengelegt, lässt sich daraus unter Umständen die Ausführung von fremdem Code oder eine weitere Ausbreitung im Netzwerk ableiten. Der Hersteller hat das Verhalten in korrigierten Fassungen behoben.