Ruby On RailsのActive Storageを利用したファイルアップロードに関する脆弱性が報告されました。

CVE-2026-122006：Active Storageの画像解析において、任意のファイルの書き込みや読み取りが可能になる脆弱性（Ruby On Railsセキュリティアドバイザリ）

本脆弱性はActive Storageに限らず、アップロードされたファイルの画像処理にImageMagickを使用している場合にも、処理方法や設定によっては同様の攻撃が成立する可能性があります。

悪用された場合、細工されたファイルのアップロードにより、サーバー上の任意のファイルが不正に書き込まれたり、読み取られたりする可能性があります。

JoruriSearchでは、Active Storageを使用しておりません。検索結果のサムネイル作成にはImageMagickを使用しておりますが、サムネイルの元となるファイルは無作為なクロールによって取得するものではなく、自治体の職員様など、CMSの利用権限を持つ方が管理された環境にアップロードしたファイルに限定されています。

以上のことから、JoruriSearchにおける本件の緊急度は低いと判断しております。

次回リリース時に対応を予定しています。