CVE-2026-126348

Nome do Software Vulnerável e Versões Afetadas Addressable versões 2.0.0 até 2.9.0

Description Na implementação IDNA em pure-Ruby, a função Addressable::IDNA.to unicode decodifica A-labels de Punycode inválidos (rótulos que começam com xn--) em vez de retorná-los inalterados. Isso acontece quando os rótulos são decodificados apenas para caracteres ASCII ou falham ao converter de volta para o A-label original. Consequentemente, o Addressable::URI#display uri pode exibir um host com aparência confiável, enquanto o host, normalized host e o alvo da conexão real permanecem como o host codificado controlado pelo invasor. Além disso, comparações de segurança usando a saída de Addressable::IDNA.to unicode podem tratar incorretamente dois hosts diferentes como idênticos.

Recommendations Atualize para a versão 2.9.1. Instale o libidn e a gem idn-ruby para habilitar a implementação IDNA nativa. Evite tomar decisões de segurança com base na saída de display uri ou to unicode e, em vez disso, compare hosts usando normalized host.