¿Qué es la vulnerabilidad?
La gema Addressable, una implementación alternativa de URI para Ruby, genera expresiones regulares ambiguas al procesar templates URI con múltiples variables o expresiones adyacentes. Esto permite que métodos como Template#match o Template#extract realicen backtracking polinomial o exponencial en URIs controladas por un atacante, causando denegación de servicio.
Productos y versiones afectadas
Versiones de Addressable desde la 2.3.0 hasta la 2.9.0. El impacto afecta a MRI Ruby anterior a 3.2 y JRuby, mientras que las expresiones grandes con operadores plus o number-sign también afectan a MRI Ruby 3.2 y TruffleRuby 40.0. La versión 2.9.1 incluye el parche.
Impacto y explotación
La vulnerabilidad (CWE-1333) tiene un CVSS de 5.9. Según Shodan, actualmente no hay hosts expuestos detectados en internet. INCIBE-CERT de España la clasifica con severidad P.
Mitigación
Actualiza la gema Addressable a la versión 2.9.1 o superior. El parsing de URI y el método Template#expand no están afectados.
| CVE | CVE-2026-126352 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-1333 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |