Im Kern handelt es sich bei CVE-2026-66066 um einen beliebigen Dateilesefehler. Ruby on Rails beschreibt die Schwachstelle als Problem, durch das geheime Informationen offengelegt werden können. Dazu zählt laut dem Sicherheitshinweis auch der Zugriff auf die Prozessumgebung der betroffenen Anwendung.
Die Maintainer erklären, dass eine Rails-Anwendung in der Standardkonfiguration verwundbar sein kann, wenn sie Bildvarianten anzeigt. Ein nicht authentifizierter Angreifer könne dann beliebige Dateien vom Server lesen, einschließlich der Umgebungsdaten des Prozesses. In diesen Daten könnten sich secret_key_base und Anmeldedaten für externe Systeme befinden.
Genau diese offengelegten Informationen machen den Fehler besonders brisant. Laut Ruby on Rails können die ausgelesenen Geheimnisse dazu missbraucht werden, den Angriff bis zur Remotecodeausführung auszuweiten oder sich seitlich auf andere Systeme zu bewegen. Der Hersteller spricht damit nicht nur von einem Informationsleck, sondern von einer möglichen Angriffskette mit weiterreichenden Folgen.
Betroffen sind Anwendungen, die libvips für die Bildverarbeitung in Active Storage verwenden und zugleich Bild-Uploads von nicht vertrauenswürdigen Nutzern erlauben. Ursache ist laut dem Hinweis, dass libvips bestimmte Datei-Lese- und Schreiboperationen als „nicht für nicht vertrauenswürdige Inhalte sicher“ kennzeichnet. Active Storage habe diese als unsicher markierten Operationen jedoch nicht deaktiviert.
Dadurch kann ein Angreifer eine präparierte Datei hochladen und eine dieser Operationen auslösen. Ruby on Rails erklärt dazu, man kenne einen Mechanismus, mit dem ein Angreifer durch den Upload einer speziell gestalteten Datei den Inhalt beliebiger Dateien offenlegen könne, auf die das Dateisystem der angegriffenen Anwendung Zugriff erlaubt.
Behoben wurde die Schwachstelle in den Active-Storage-Versionen 7.2.3.2, 8.0.5.1 und 8.1.3.1. Nutzer sollen ihre Installationen so schnell wie möglich aktualisieren. Zusätzlich empfiehlt Ruby on Rails ein Update von libvips auf mindestens Version 8.13, da frühere Versionen der Bibliothek das Deaktivieren der unsicheren Operationen nicht unterstützen.
Der Sicherheitshinweis enthält noch einen wichtigen Zusatz für bereits betroffene Umgebungen: Ein Update schließt zwar die Lücke, macht aber bereits abgeflossene Geheimnisse nicht wieder ungültig. Ruby on Rails rät deshalb dazu, bei betroffenen Anwendungen jedes Geheimnis, das der Anwendungsprozess lesen konnte, als potenziell offengelegt zu betrachten und auszutauschen.
Nach Angaben des Cybersicherheitsunternehmens Rapid7 lagen bis zum 30. Juli keine Hinweise darauf vor, dass CVE-2026-66066 bereits aktiv ausgenutzt wurde. Damit steht derzeit die Absicherung der betroffenen Rails-Anwendungen im Vordergrund, nicht die Aufarbeitung bekannter Angriffe.