PT-2026-146074
CVE-2026-126352
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Addressable الإصدارات من 2.3.0 إلى 2.9.0
Description
تؤدي قوالب URI التي تحتوي على متغيرات متعددة في تعبير واحد أو عدة تعبيرات متجاورة إلى إنشاء تعبيرات نمطية (regular expressions) غامضة. عند استدعاء الدوال
Template#match أو Template#extract باستخدام URI مصمم بشكل خبيث، قد يقوم محرك التعبيرات النمطية بعملية تتبع عكسي (backtracking) مفرطة، مما يؤدي إلى استهلاك غير منضبط للموارد وتعطيل الخدمة. يحدث هذا في ثلاثة سيناريوهات محددة: التعبيرات التي تستخدم عوامل تشغيل غير + و # ، والتعبيرات التي تحتوي على العديد من المتغيرات باستخدام عوامل + أو # ، والتعبيرات المتجاورة ذات المتغير الواحد. تؤثر هذه المشكلة على إصدارات MRI Ruby السابقة للإصدار 3.2 و JRuby، بينما تؤثر أشكال علامة الزائد وعلامة الرقم الكبيرة أيضًا على MRI Ruby 3.2 و TruffleRuby 40.0.Recommendations
تحديث Addressable إلى الإصدار 2.9.1.
التحديث إلى MRI Ruby 3.3 أو إصدار أحدث.
تطبيق مهلة زمنية (timeout) قصيرة حول أي استدعاء للدوال
Template#match أو Template#extract التي تعالج بيانات مقدمة من المستخدم.
تجنب مطابقة المدخلات المقدمة من المستخدم مع القوالب التي تحتوي على عدة متغيرات في تعبير واحد أو عدة تعبيرات متجاورة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾