CVE-2026-126352

Nome do Software Vulnerável e Versões Afetadas Addressable versões 2.3.0 até 2.9.0

Description Modelos de URI que contêm várias variáveis em uma única expressão ou várias expressões adjacentes geram expressões regulares ambíguas. Quando as funções Template#match ou Template#extract são chamadas com uma URI maliciosamente elaborada, o mecanismo de expressão regular pode realizar um backtracking excessivo, levando ao consumo descontrolado de recursos e negação de serviço. Isso ocorre em três cenários específicos: expressões que utilizam operadores diferentes de + e #, expressões com muitas variáveis usando operadores + ou #, e expressões de variável única adjacentes. O problema afeta versões do MRI Ruby anteriores a 3.2 e JRuby, enquanto as formas de sinal de mais e cerquilha extensas também afetam o MRI Ruby 3.2 e o TruffleRuby 40.0.

Recommendations Atualize o Addressable para a versão 2.9.1. Atualize para o MRI Ruby 3.3 ou posterior. Aplique um tempo limite (timeout) curto em qualquer chamada para Template#match ou Template#extract que processe dados fornecidos pelo usuário. Evite a correspondência de entradas fornecidas pelo usuário com modelos que possuam várias variáveis em uma única expressão ou várias expressões adjacentes.