CVE catalog

CVE-2026-33202

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, Active Storage's `DiskService#delete_prefixed` passes blob keys dire

[CVE catalog]

Severity
Medium · CVSS 6.6
Published
Source
[NVD] · [CVE record]
EPSS
0.67% · Oct 22, 2026

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1, Active Storage's `DiskService#delete_prefixed` passes blob keys directly to `Dir.glob` without escaping glob metacharacters. If a blob key contains attacker-controlled input or custom-generated keys with glob metacharacters, it may be possible to delete unintended files from the storage directory. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1vulnerable
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2vulnerable
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3fixed
RubygemsactivestorageNot reported8.1.2.1fixed
RubygemsactivestorageNot reported8.0.4.1fixed
RubygemsactivestorageNot reported7.2.3.1fixed
CperailsNot reportedNot reportedunknown
CperailsNot reportedNot reportedvulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourceforky2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourcetrixie2:7.2.2.2+dfsg-2~deb13u2not yet assignedNot reported[1132035]
Debianrailssourcebookworm2:6.1.7.10+dfsg-1~deb12u3not yet assignedNot reported[1132035]
RubygemsactivestoragerubygemsNot reported8.1.2.1Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported8.0.4.1Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported7.2.3.1Not reportedNot reportedNot reported

[Debian bug #1132035]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [rails]Affected
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionview]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activejob]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activemodel]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activerecord]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activestorage]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activesupport]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-rails]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-railties]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

[Debian 13 (Trixie)]

  • [rails]Affected
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [GitHub Advisory Database] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]