¿Qué es y cómo funciona?
La gema Addressable, implementación alternativa de URI para Ruby, contiene una vulnerabilidad de denegación de servicio (DoS) en su función de normalización de paths. Al procesar URIs maliciosas especialmente construidas con segmentos anidados, el método normalize_path realiza escaneos y reescrituras repetidas removiendo solo un segmento de punto por pasada, generando un trabajo computacional cuadrático que puede consumir completamente un hilo de trabajo.
Productos y versiones afectadas
Ruby gems Addressable versiones anteriores a la 2.9.1.
Impacto y explotación
La vulnerabilidad afecta métodos como Addressable::URI.normalize_path, URI#normalize, URI#normalized_path, URI#join, URI#== y URI#===. Shodan reporta 0 hosts detectados expuestos en internet actualmente. INCIBE-CERT clasifica la severidad como P (precaución). El CVSS es 5.9 (medio).
Mitigación
Actualizar la gema Addressable a versión 2.9.1 o superior, donde el problema fue corregido. Código que nunca normaliza, compara o une URIs no confiables no está afectado.
| CVE | CVE-2026-126351 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-407 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.