CVE-2026-126349

Nome do Software Vulnerável e Versões Afetadas Addressable versões 2.0.0 até 2.9.0

Description Addressable::IDNA.to unicode decodifica rótulos Punycode que contêm controles bidirecionais, caracteres de largura zero, caracteres de controle ou outros caracteres de formato ignoráveis por padrão. Consequentemente, Addressable::URI#display uri pode exibir um nome de host que seja visualmente indistinguível de outro ou que apareça reordenado, embora as conexões de rede reais e o normalized host utilizem o nome de host codificado original. Isso pode ser utilizado em aplicações que exibem prévias de links ou interfaces administrativas para fazer com que um domínio malicioso pareça confiável. No backend puro em Ruby, todos os caracteres proibidos são decodificados. No backend nativo libidn, os caracteres adicionados após o Unicode 3.2 são afetados.

Recommendations Atualize o Addressable para a versão 2.9.1. Como solução temporária, instale o libidn e a gem idn-ruby para utilizar a implementação IDNA nativa, o que limita os caracteres afetados. Como solução temporária, verifique se os hosts exibidos contêm caracteres bidirecionais e invisíveis e utilize o normalized host caso algum seja encontrado.