PT-2026-146072
CVE-2026-126350
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Addressable الإصدارات من 2.3.0 إلى 2.9.0
الوصف
تؤدي تعبيرات نماذج URI التي تستخدم معدل التوسيع
* مع عوامل التشغيل / أو . أو ; أو ? أو & إلى إنشاء تعبيرات نمطية غامضة. عندما تقوم الدوال Template#match أو Template#extract بمعالجة URI مصمم بشكل خبيث يبدأ بالحرف الرئيسي لعامل التشغيل، فقد يؤدي ذلك إلى حدوث تراجع كارثي (catastrophic backtracking). التراجع الكارثي هو حالة يستغرق فيها محرك التعبيرات النمطية وقتًا أسيًا لتحديد أن السلسلة لا تطابق النمط، مما يؤدي إلى استهلاك غير منضبط للموارد وتعطيل الخدمة. تؤثر هذه المشكلة تحديدًا على JRuby وإصدارات MRI Ruby السابقة للإصدار 3.2. يمكن لمدخلات يقل حجمها عن 60 بايت أن تشغل خيط معالجة (thread) لعدة دقائق.التوصيات
تحديث Addressable إلى الإصدار 2.9.1.
التحديث إلى MRI Ruby 3.2 أو إصدار أحدث.
تجنب مطابقة المدخلات المقدمة من المستخدم مع النماذج التي تستخدم المعدل
* مع عوامل التشغيل / أو . أو ; أو ? أو &.
تطبيق مهلة زمنية (timeout) قصيرة حول استدعاءات Template#match أو Template#extract عند معالجة البيانات المقدمة من المستخدم. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾