Symbolbild: Upload-Schale mit Bildkarten vor einem geöffneten Tresor neben der Überschrift Rails-Lücke Upload als Einfallstor

Rails Active Storage: Kritische Upload-Lücke über ImageMagick erlaubt Dateizugriff

Rails hat am 4. November 2026 das Advisory GHSA-f3w6-w445-fwh9 veröffentlicht. Über präparierte Uploads können Angreifer ohne Anmeldung Dateien schreiben und bei Disk-Speicherung auch lesen, wenn Active Storage ImageMagick nutzt. Abhilfe schaffen Rails 8.1.4.1 und 8.0.5.2. Wer Anhänge mit dem Disk-Service speichert, muss zusätzlich alle Schlüssel erneuern.

Weiterlesen →

Alle Artikel

Symbolbild: gestapelte Glaswürfel, von denen einer zerspringt, neben der Überschrift Xen-Lücke VM bricht aus

Sicherheit & Datenschutz 04.11.2026

Xen-Lücke XSA-523: Bösartige VM liest und schreibt Speicher von Host und Gästen

Das Xen-Projekt hat am 3. November 2026 mit XSA-523 zwei Lücken veröffentlicht, über die eine bösartige VM beliebigen Speicher anderer Domänen einschließlich Dom0 lesen und schreiben kann. Betroffen sind alle Versionen ab Xen 4.6. XCP-ng 8.3 hat ein Update veröffentlicht, Qubes OS 4.3 verteilt den Fix zunächst über security-testing.

Symbolbild: Greifarm tauscht ein versiegeltes Paket auf einem Förderband neben der Überschrift APT-Lücke Pakete vertauschbar

Sicherheit & Datenschutz 04.11.2026

Rails Active Storage: Kritische Upload-Lücke über ImageMagick erlaubt Dateizugriff

Alle Artikel

Xen-Lücke XSA-523: Bösartige VM liest und schreibt Speicher von Host und Gästen

APT-Lücke CVE-2026-109518: Paket-Tausch bringt root-Code auf Debian und Ubuntu

WordPress CVE-2026-119977: CISA bestätigt Angriffe auf das Update-Fenster

netcup-DNS-Zone sichern, versionieren und zurückspielen mit DNSControl

Anubis vor der Website: KI-Crawler aussperren, Besucher durchlassen

Eigene Website mit Hugo: statisch, schnell und mit strenger CSP

Caddy als Eingangstür: HTTPS, Sicherheits-Header und A+ bei SSL Labs

Domain auf den Server zeigen lassen: A, AAAA, Wildcard und CAA richtig setzen

ChatGPT und Codex teilen sich ab Dezember ein Kontingent, nur Instant bleibt unbegrenzt

OpenAI beachtet gemeinsames KI-Trainingssignal in robots.txt

Claude-Wasserzeichen ab 3. November auch für Opus 4.6 und Sonnet 4.6