CVE catalog

CVE-2026-33174

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, when serving files through Active Storage's proxy delivery mode, the

[CVE catalog]

Severity
Medium · CVSS 6.6
Published
Source
[NVD] · [CVE record]
EPSS
0.62% · Oct 22, 2026

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, when serving files through Active Storage's proxy delivery mode, the proxy controller loads the entire requested byte range into memory before sending it. A request with a large or unbounded Range header (e.g. `bytes=0-`) could cause the server to allocate memory proportional to the file size, possibly resulting in a DoS vulnerability through memory exhaustion. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1vulnerable
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2not affected
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3not affected
RubygemsactivestorageNot reported8.1.2.1fixed
RubygemsactivestorageNot reported8.0.4.1fixed
RubygemsactivestorageNot reported7.2.3.1fixed
CperailsNot reportedNot reportedunknown
CperailsNot reportedNot reportedvulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourceforky2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourcetrixie2:7.2.2.2+dfsg-2~deb13u2not yet assignedNot reported[1132035]
DebianrailssourcebookwormNot affectedunimportantNot reported[1132035]
RubygemsactivestoragerubygemsNot reported8.1.2.1Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported8.0.4.1Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported7.2.3.1Not reportedNot reportedNot reported

[Debian bug #1132035]

OpenFactory catalog packages

[Debian 13 (Trixie)]

  • [rails]Affected
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionview]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activejob]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activemodel]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activerecord]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activestorage]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activesupport]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-rails]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-railties]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

[Debian 12 (Bookworm)]

  • [rails]Not affected
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actioncable]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionmailbox]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionmailer]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionpack]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actiontext]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [GitHub Advisory Database] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]