CVE catalog

CVE-2026-66066

Action Pack is a framework for handling and responding to web requests. In versions prior to 7.2.3.2, 8.0.5.1 and 8.1.3.1, Active Storage does not disable libvips operations marked unsafe for untruste

[CVE catalog]

Severity
Critical · CVSS 9.5CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published
Source
[NVD] · [CVE record]
EPSS
27.86% · Oct 22, 2026

Action Pack is a framework for handling and responding to web requests. In versions prior to 7.2.3.2, 8.0.5.1 and 8.1.3.1, Active Storage does not disable libvips operations marked unsafe for untrusted content, allowing a crafted upload to invoke such an operation. Consuming applications are affected when configured to use libvips and accept image uploads from untrusted users. An unauthenticated attacker may exploit this behavior to read arbitrary files accessible to the Rails process, including environment variables and application secrets. Exposure of credentials such as secret_key_base or external-service tokens may enable remote code execution or lateral movement. This issue has been fixed in versions 7.2.3.2, 8.0.5.1 and 8.1.3.1.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianrailssid2:7.2.4+dfsg-2fixed
Debianrailsforky2:7.2.4+dfsg-1fixed
Debianrailstrixie2:7.2.2.2+dfsg-2~deb13u1vulnerable
Debianrailstrixie-security2:7.2.2.2+dfsg-2~deb13u2fixed
Debianrailsbookworm2:6.1.7.10+dfsg-1~deb12u2vulnerable
Debianrailsbookworm-security2:6.1.7.10+dfsg-1~deb12u3fixed
RubygemsactivestorageNot reported7.2.3.2fixed
RubygemsactivestorageNot reported8.0.5.1fixed
RubygemsactivestorageNot reported8.1.3.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianrailssourcesid2:7.2.3.2+dfsg-1not yet assignedNot reported[1143080]
Debianrailssourceforky2:7.2.3.2+dfsg-1not yet assignedNot reported[1143080]
Debianrailssourcetrixie2:7.2.2.2+dfsg-2~deb13u2not yet assignedNot reported[1143080]
Debianrailssourcebookworm2:6.1.7.10+dfsg-1~deb12u3not yet assignedNot reported[1143080]
RubygemsactivestoragerubygemsNot reported7.2.3.2Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported8.0.5.1Not reportedNot reportedNot reported
RubygemsactivestoragerubygemsNot reported8.1.3.1Not reportedNot reportedNot reported

[Debian bug #1143080]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [rails]Affected
    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-actionview]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activejob]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activemodel]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activerecord]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activestorage]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-activesupport]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-rails]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

  • [ruby-railties]Affected

    Source package: [rails]

    Details (4)

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

    • 2:6.1.7.10+dfsg-1~deb12u2 · all · bookworm-security

      Affected · Fixed: 2:6.1.7.10+dfsg-1~deb12u3

      nvd · rails · debian · bookworm; nvd · rails · debian · 12

[Debian 13 (Trixie)]

  • [rails]Affected
    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actioncable]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailbox]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionmailer]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actionpack]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

  • [ruby-actiontext]Affected

    Source package: [rails]

    Details (5)

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

    • 2:7.2.2.2+dfsg-2~deb13u2 · all · trixie-security

      Fixed · Fixed: 2:7.2.2.2+dfsg-2~deb13u2

      nvd · rails · debian · 13

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [GitHub Advisory Database] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]