CVE-2026-126351

Nome do Software Vulnerável e Versões Afetadas Addressable versões anteriores a 2.9.1

Description Existe um problema onde Addressable::URI.normalize path verifica e reescreve caminhos repetidamente, removendo apenas um segmento de ponto aninhado por passagem, resultando em trabalho quadrático. Este comportamento é herdado por URI#normalize, URI#normalized path, URI#join, URI#== e URI#===. O processamento de uma URI suficientemente longa controlada por um invasor pode levar ao consumo descontrolado de recursos, consumindo uma thread de trabalho e causando a negação de serviço em todas as implementações Ruby. Isso ocorre ao normalizar, comparar ou unir URIs provenientes de entradas de usuários não confiáveis.

Recommendations Atualizar para a versão 2.9.1. Limitar o comprimento das URIs recebidas de entradas de usuários antes de chamar normalize, == ou join. Rejeitar caminhos com muitos segmentos de ponto antes de normalizá-los.