PT-2026-146073
CVE-2026-126351
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Addressable الإصدارات السابقة لـ 2.9.1
Description
توجد مشكلة حيث تقوم الدالة
Addressable::URI.normalize path بفحص وإعادة كتابة المسارات بشكل متكرر مع إزالة جزء واحد فقط من النقاط المتداخلة في كل تمريرة، مما يؤدي إلى عمل تربيعي. يتم توريث هذا السلوك إلى URI#normalize و URI#normalized path و URI#join و URI#== و URI#===. يمكن أن يؤدي معالجة URI طويلة بما يكفي يتحكم فيها المهاجم إلى استهلاك غير منضبط للموارد، مما يستهلك خيط عمل (worker thread) ويتسبب في حجب الخدمة في جميع تطبيقات Ruby. يحدث هذا عند تطبيع أو مقارنة أو دمج URIs مأخوذة من مدخلات مستخدم غير موثوقة.Recommendations
التحديث إلى الإصدار 2.9.1.
تحديد طول URIs المأخوذة من مدخلات المستخدم قبل استدعاء
normalize أو == أو join.
رفض المسارات التي تحتوي على العديد من أجزاء النقاط قبل تطبيعها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾