CVE-2026-126348

اسم البرنامج المصاب والإصدارات المتأثرة Addressable الإصدارات من 2.0.0 إلى 2.9.0

Description في تنفيذ IDNA بلغة Ruby النقية، تقوم الدالة Addressable::IDNA.to unicode بفك تشفير تسميات A-labels الخاصة بـ Punycode غير الصالحة (التسميات التي تبدأ بـ xn--) بدلاً من إعادتها كما هي. يحدث هذا عندما يتم فك تشفير التسميات إلى أحرف ASCII فقط أو تفشل في التحويل مرة أخرى إلى A-label الأصلي. نتيجة لذلك، قد يعرض Addressable::URI#display uri مضيفاً يبدو موثوقاً بينما يظل host و normalized host وهدف الاتصال الفعلي هو المضيف المشفر الذي يتحكم فيه المهاجم. بالإضافة إلى ذلك، قد تؤدي مقارنات الأمان التي تستخدم مخرجات Addressable::IDNA.to unicode إلى اعتبار مضيفين مختلفين على أنهما متطابقان بشكل خاطئ.

Recommendations التحديث إلى الإصدار 2.9.1. تثبيت libidn و gem idn-ruby لتفعيل تنفيذ IDNA الأصلي. تجنب اتخاذ قرارات أمنية بناءً على مخرجات display uri أو to unicode وبدلاً من ذلك قم بمقارنة المضيفين باستخدام normalized host.