Qué es y cómo funciona
La gema Addressable (implementación alternativa de URI para Ruby) entre las versiones 2.3.0 y 2.9.0 genera expresiones regulares ambiguas al usar el modificador explode con operadores como slash, punto, punto y coma, signo de interrogación o ampersand en templates URI. Cuando Template#match o Template#extract procesan una URI controlada por un atacante que comienza con el carácter inicial del operador, los separadores de miembros opcionales permiten backtracking catastrófico, causando denegación de servicio (DoS) en MRI Ruby anterior a 3.2 y en JRuby.
Productos y versiones afectadas
Addressable desde la versión 2.3.0 hasta la 2.9.0. La versión 2.9.0 remedió incompletamente el problema porque sus pruebas no cubrían estas rutas con operadores prefijados. URI parsing y Template#expand no están afectados.
Impacto y explotación
La vulnerabilidad (CWE-1333) tiene un CVSS de 5.9 (gravedad media). INCIBE-CERT de España la clasifica con severidad P. Actualmente, Shodan reporta 0 hosts indexados con esta vulnerabilidad detectada, indicando bajo volumen de objetivos expuestos directamente en internet.
Qué hacer
La vulnerabilidad se corrige en la versión 2.9.1 de Addressable. Se recomienda actualizar a esta versión o superior para mitigar el riesgo de DoS.
| CVE | CVE-2026-126350 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-1333 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.