CVE-2026-33174该漏洞存在于Ruby on Rails的Active Storage组件中。在代理投递模式下，处理带有大范围Range头的恶意请求时，系统会将全部文件加载至内存，导致内存耗尽引发拒绝服务攻击。
Active Storage是Rails框架中用于处理文件上传和云存储集成的核心组件。在受影响的版本中，Active Storage的代理投递模式存在严重的资源管理缺陷。当服务器通过该模式处理HTTP GET请求时，如果请求中包含Range头部（用于分段下载），代理控制器会先将请求指定的整个字节范围完整地读入内存缓冲区，随后才发送给客户端。漏洞在于系统未对Range请求的范围大小进行限制。攻击者无需认证即可发送构造好的恶意请求，例如设置Range为“bytes=0-”以请求整个文件。如果服务器上存储了大文件，此举将瞬间消耗大量内存。通过高频发送此类请求，攻击者可轻易耗尽服务器内存资源，导致应用程序崩溃或系统无响应，从而实现拒绝服务攻击。