まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
トピック: rails解除
Rails 8.1.2.1が公開され、Active Support・Action View・Action Pack・Active Storageにまたがる10件のCVEが修正されました。XSSやパストラバーサル、globインジェクションなど深刻度の異なる複数の脆弱性が一括で対処されています。Active Model・Active Record・Active Jobなど変更のないコンポーネントも明記されており、影響範囲を確認しやすいリリースノートになっています。
Ruby on RailsがRails 8.0.4.1をリリースしました。Active Support、Action View、Active Storageにまたがる8件のセキュリティ脆弱性(CVE)を修正するパッチリリースで、特にActive StorageにおけるパストラバーサルやグロブインジェクションといったCVE-2026-33195・CVE-2026-33202などの重大な修正が含まれています。
Rails 7.2.3.1がリリースされ、Active Support・Action View・Active Storageにまたがる合計7件のCVEが修正されました。特にActive Storageではパストラバーサルやglobインジェクション、範囲リクエストの悪用など、ファイル配信・アップロード周りの脆弱性への対処が中心となっています。
Rubyの標準ライブラリERBに、Marshal.loadを使った逆シリアル化攻撃で任意コード実行が可能になる脆弱性CVE-2026-41316が見つかりました。ERBとActiveSupportの両方をロードしている環境が対象で、多くのRailsアプリが影響範囲に含まれます。erbジェムを4.0.3.1・4.0.4.1・6.0.1.1・6.0.4以降へ更新することが推奨されています。
Rails 8.1.3.1が公開され、Active Storageにおけるセキュリティ修正が行われました。libvipsが「unfuzzed」「untrusted」と分類する画像ローダー・セーバーを無効化する対応で、CVE-2026-66066に対応するものです。Active Support等の他コンポーネントに変更はありません。