There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions
    8.1.2.1, 8.0.4.1, and 7.2.3.1, `DirectUploadsController` accepts arbitrary metadata from the client and
    persists it on the blob. Because internal flags like `identified` and `analyzed` are stored in the same
    metadata hash, a direct-upload client can set these flags to skip MIME detection and analysis. This allows
    an attacker to upload arbitrary content while claiming a safe `content_type`, bypassing any validations
    that rely on Active Storage's automatic content type identification. Versions 8.1.2.1, 8.0.4.1, and
    7.2.3.1 contain a patch. (CVE-2026-33173)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Active Storage 允許使用者在 Rails 應用程式中附加雲端和本機檔案。在版本 8.1.2.1、 8.0.4.1、 7.2.3.1和 之前，「DirectUploadsController」會接受用戶端的任意元資料，並將其持久化於 blob 上。由於內部旗標如「識別」與「分析」存在相同的元資料雜湊中，直接上傳用戶端可設定這些旗標跳過 MIME 偵測與分析。這讓攻擊者能上傳任意內容，同時聲稱擁有安全的「content_type」，繞過依賴 Active Storage 自動內容類型識別的驗證。8.1.2.1、8.0.4.1 和 7.2.3.1 版包含修補程式。(CVE-2026-33173)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 用户可通过 Active Storage 在 Rails 应用程序中附加云和本地文件。在版本 8.1.2.1、 8.0.4.1和 7.2.3.1之前，“DirectUploadsController”接受客户端的任意元数据，并将其持久化在 blob 上。由于内部标志如“识别”和“分析”存储在同一元数据哈希中，直接上传客户端可以设置这些标志跳过MIME检测和分析。这使得攻击者可以在声称安全“有”信息content_type“的同时上传任意内容，绕过依赖Active Storage自动内容类型识别的任何验证。版本 8.1.2.1、8.0.4.1 和 7.2.3.1 包含补丁。(CVE-2026-33173)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Active Storage では、ユーザーが Rails アプリケーションでクラウドファイルやローカルファイルを添付することが可能です。バージョン 8.1.2.1、 8.0.4.1、 7.2.3.1以前は、「DirectUploadsController」はクライアントからの任意のメタデータを受け取り、それをブロブ上で永続化していました。「識別済み」や「分析済み」といった内部フラグは同じメタデータハッシュに保存されているため、ダイレクトアップロードクライアントはこれらのフラグをMIME検出や解析をスキップするように設定できます。これにより、攻撃者は安全な「content_type」を主張しながら任意のコンテンツをアップロードでき、Active Storageの自動コンテンツタイプ識別に依存する検証を回避できます。バージョン 8.1.2.1、8.0.4.1、7.2.3.1 にはパッチが含まれています。(CVE-2026-33173)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Active Storage allows users to attach cloud and local files in Rails applications. Prior to versions     8.1.2.1, 8.0.4.1, and 7.2.3.1, `DirectUploadsController` accepts arbitrary metadata from the client and     persists it on the blob. Because internal flags like `identified` and `analyzed` are stored in the same     metadata hash, a direct-upload client can set these flags to skip MIME detection and analysis. This allows     an attacker to upload arbitrary content while claiming a safe `content_type`, bypassing any validations     that rely on Active Storage's automatic content type identification. Versions 8.1.2.1, 8.0.4.1, and     7.2.3.1 contain a patch. (CVE-2026-33173)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439112	SCA: security update for activestorage (GHSA-qcfx-2mfw-w4cg)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/24	2026/7/2	medium
439112	SCA: security update for activestorage (GHSA-qcfx-2mfw-w4cg)	Tenable Cloud Security	SCA Checks	2026/3/24	2026/7/2	medium
303648	Linux Distros 未修補的弱點：CVE-2026-33173	Nessus	Misc.	2026/3/25	2026/8/2	medium
303648	Linux Distros 未修补的漏洞：CVE-2026-33173	Nessus	Misc.	2026/3/25	2026/8/2	medium
303648	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33173	Nessus	Misc.	2026/3/25	2026/8/2	medium
303648	Linux Distros Unpatched Vulnerability : CVE-2026-33173	Nessus	Misc.	2026/3/25	2026/8/2	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium