CVE-2026-126354

Nome do Software Vulnerável e Versões Afetadas Addressable versões 2.2.5 até 2.9.0

Description Existe um conflito de interpretação na forma como o Addressable::URI.normalize path resolve caminhos contendo segmentos parentais (..) em comparação com o padrão RFC 3986. Quando um caminho contém segmentos parentais iniciais que sobem acima da raiz antes que outros segmentos sejam resolvidos, o software pode reter incorretamente segmentos que deveriam ter sido removidos. Este comportamento afeta URI#normalize, URI#join, URI#== e URI#===.

Isso pode levar ao traversal de caminho se uma aplicação realizar verificações de autorização em um caminho normalizado pelo Addressable, mas enviar a URI original para um resolvedor diferente (como um servidor web ou proxy) que siga a RFC 3986. Um invasor poderia potencialmente ignorar listas de permissão para acessar caminhos restritos.

Recommendations Atualize o Addressable para a versão 2.9.1. Como solução temporária, rejeite quaisquer caminhos que contenham segmentos .., incluindo formas codificadas em percentual como %2e%2e, antes de tomar decisões de acesso. Como solução temporária, use o mesmo valor normalizado tanto para a verificação de autorização quanto para a requisição subsequente.