CVE-2021-32740

Versões do Addressable 2.3.0 a 2.7.0

O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos na biblioteca Addressable, que é uma implementação alternativa à implementação de URI na biblioteca padrão do Ruby. Essa vulnerabilidade pode ser explorada por um modelo criado de forma maliciosa, levando à negação de serviço quando comparado a um URI. Normalmente, os modelos não seriam lidos a partir de entradas de usuários não confiáveis, mas alertas de segurança anteriores não advertiram contra essa prática. Usuários dos recursos de análise do Addressable, mas não dos recursos de modelos URI, não são afetados.

Para as versões 2.3.0 a 2.7.0 do Addressable, atualize para a versão 2.8.0 para resolver o problema.

Como solução alternativa temporária, crie objetos Template apenas a partir de fontes confiáveis que tenham sido validadas para não produzir backtracking catastrófico.