本期焦點為 Ruby on Rails Active Storage 的重大遠端程式碼執行漏洞；公開資訊顯示，攻擊者可透過特製圖片上傳觸發風險，相關利用程式碼亦已公開。
Rails Active Storage RCE 漏洞重點
- 漏洞編號為 CVE-2026-66066，影響元件為 Rails Active Storage。
- 該漏洞的 CVSS 分數為 9.5，屬於重大資安風險。
- 攻擊者不需要通過身分驗證，即可能利用此漏洞。
- 已知攻擊途徑涉及上傳經過特製的圖片檔案。
- 成功利用後，攻擊者可讀取伺服器上的檔案。
- 漏洞亦可能進一步造成遠端程式碼執行（RCE）。
- 相關漏洞利用程式碼目前已公開。
- 公開資訊提及已有對應的 Metasploit 模組，防守團隊應將此項威脅納入風險評估。
- 使用 Rails Active Storage 處理外部圖片上傳的系統，應優先確認自身是否受到 CVE-2026-66066 影響。
- 原始資訊來源：https://ift.tt/D2GjPUf