PT-2026-146069
CVE-2026-126349
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Addressable الإصدارات من 2.0.0 إلى 2.9.0
Description
تقوم الدالة
Addressable::IDNA.to unicode بفك تشفير تسميات Punycode التي تحتوي على عناصر تحكم ثنائية الاتجاه، أو أحرف ذات عرض صفري، أو أحرف تحكم، أو أحرف تنسيق أخرى قابلة للتجاهل افتراضيًا. وبناءً على ذلك، يمكن لـ Addressable::URI#display uri عرض اسم مضيف لا يمكن تمييزه بصريًا عن مضيف آخر أو يظهر بترتيب مختلف، على الرغم من أن اتصالات الشبكة الفعلية و normalized host تستخدم اسم المضيف المشفر الأصلي. يمكن استغلال ذلك في التطبيقات التي تعرض معاينات للروابط أو واجهات الإدارة لجعل نطاق خبيث يبدو موثوقًا. في الواجهة الخلفية المكتوبة بلغة Ruby الصرفة، يتم فك تشفير جميع الأحرف المحظورة. أما في واجهة libidn الأصلية، فتتأثر الأحرف التي تمت إضافتها بعد إصدار Unicode 3.2.Recommendations
تحديث Addressable إلى الإصدار 2.9.1.
كإجراء مؤقت، قم بتثبيت libidn و gem
idn-ruby لاستخدام تنفيذ IDNA الأصلي، مما يقلل من عدد الأحرف المتأثرة.
كإجراء مؤقت، قم بفحص المضيفات المعروضة بحثًا عن أحرف ثنائية الاتجاه وغير مرئية، والرجوع إلى normalized host عند وجود أي منها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾