Dragonfly contains remote code execution vulnerability

緊急 9.8CVE-2021-33564 · GHSA-j858-xp5v-f8xx · 29/05/2021 公開 · 17/06/2026 更新

要点

CVE-2021-33564 は dragonfly, dragonfly (dragonfly project) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：72.1%（全脆弱性の 99.4% より高い）。
対処：1.4.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
dragonfly RubyGems	`< 1.4.0`	`1.4.0`
dragonfly dragonfly_project	`< 1.4.0`	`1.4.0`

概要

An argument injection vulnerability in the Dragonfly gem before 1.4.0 for Ruby allows remote attackers to read and write to arbitrary files via a crafted URL when the verify_url option is disabled. This may lead to code execution. The problem occurs because the generate and process features mishandle use of the ImageMagick convert utility.

NVD の説明

An argument injection vulnerability in the Dragonfly gem before 1.4.0 for Ruby allows remote attackers to read and write to arbitrary files via a crafted URL when the verify_url option is disabled. This may lead to code execution. The problem occurs because the generate and process features mishandle use of the ImageMagick convert utility.