CVE catalog

CVE-2026-33658

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 Active Storage's proxy controller does not limit the number of byte r

[CVE catalog]

Severity
Low · CVSS 2.3
Published
Source
[NVD] · [CVE record]
EPSS
0.43% · Oct 22, 2026

Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 Active Storage's proxy controller does not limit the number of byte ranges in an HTTP Range header. A request with thousands of small ranges causes disproportionate CPU usage compared to a normal request for the same file, possibly resulting in a DoS vulnerability. Versions 8.1.2.1, 8.0.4.1, and 7.2.3.1 contain a patch.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1vulnerable
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2not affected
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3not affected
CperailsNot reportedNot reportedvulnerable
CperailsNot reported7.2.3.1fixed
CperailsNot reported8.0.4.1fixed
CperailsNot reported8.1.2.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourceforky2:7.2.3.1+dfsg-1not yet assignedNot reported[1132035]
Debianrailssourcetrixie2:7.2.2.2+dfsg-2~deb13u2not yet assignedNot reported[1132035]
DebianrailssourcebookwormNot affectedunimportantNot reported[1132035]
CperailscpeNot reported7.2.3.1Not reportedNot reportedNot reported
CperailscpeNot reported8.0.4.1Not reportedNot reportedNot reported
CperailscpeNot reported8.1.2.1Not reportedNot reportedNot reported

[Debian bug #1132035]

OpenFactory catalog packages

[Debian 13 (Trixie)]

  • [rails]Affected
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionview]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activejob]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activemodel]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activerecord]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activestorage]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-activesupport]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-rails]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-railties]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

[Debian 12 (Bookworm)]

  • [rails]Not affected
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actioncable]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionmailbox]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionmailer]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actionpack]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

  • [ruby-actiontext]Not affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Not affected

      nvd · rails · debian · bookworm

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]