CVE-2026-126350

Nome do Software Vulnerável e Versões Afetadas Addressable versões 2.3.0 até 2.9.0

Descrição Expressões de modelo URI que utilizam o modificador explode * com os operadores /, ., ;, ? ou & geram expressões regulares ambíguas. Quando as funções Template#match ou Template#extract processam uma URI maliciosamente elaborada que começa com o caractere inicial do operador, isso pode desencadear um backtracking catastrófico. O backtracking catastrófico é uma condição em que um mecanismo de expressão regular leva um tempo exponencial para determinar que uma string não corresponde a um padrão, levando ao consumo descontrolado de recursos e negação de serviço. Este problema afeta especificamente o JRuby e versões do MRI Ruby anteriores a 3.2. Uma entrada com menos de 60 bytes pode ocupar uma thread por vários minutos.

Recomendações Atualize o Addressable para a versão 2.9.1. Atualize para o MRI Ruby 3.2 ou posterior. Evite a correspondência de entradas fornecidas pelo usuário com modelos que usem o modificador * com os operadores /, ., ;, ? ou &. Aplique um tempo limite (timeout) curto em chamadas para Template#match ou Template#extract ao processar dados fornecidos pelo usuário.