Qué es y cómo funciona
La gema Addressable (implementación alternativa de URI para Ruby) contiene una vulnerabilidad en su función Addressable::IDNA.to_unicode que permite decodificar etiquetas Punycode con caracteres de control bidireccionales, de ancho cero o formatos ignorables. Esto hace que Addressable::URI#display_uri muestre un hostname reordenado o visualmente idéntico a uno legítimo, mientras que las conexiones de red usan el hostname original codificado.
Productos y versiones afectadas
Versiones de Addressable desde la 2.0.0 hasta la 2.9.0. El backend nativo libidn está afectado desde la versión 2.5.2 para caracteres añadidos después de Unicode 3.2.
Impacto y explotación
La vulnerabilidad (CWE-1007, CWE-176, CWE-451) facilita ataques de homógrafos, donde un hostname malicioso puede parecer idéntico a uno legítimo. INCIBE-CERT clasifica la severidad como P (baja prioridad). Actualmente Shodan reporta 0 hosts expuestos con esta vulnerabilidad detectada.
Qué hacer
Actualizar a la versión Addressable 2.9.1 o superior, donde el problema está corregido.
| CVE | CVE-2026-126349 |
|---|---|
| Severidad | LOW |
| CVSS | 3.1 / 10 |
| CWE | CWE-1007, CWE-176, CWE-451 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |