Qué es y cómo funciona la falla
La gema Addressable, una implementación alternativa para el manejo de URIs en Ruby, contiene una vulnerabilidad de denegación de servicio (DoS). La falla reside en las expresiones de plantilla (Template) que contienen múltiples variables "exploded". Estas generan expresiones regulares ambiguas que, al procesar una URI controlada por un atacante mediante los métodos Template#match o Template#extract, pueden consumir todos los recursos de un hilo de ejecución de forma polinómica, causando la denegación del servicio.
Productos y versiones afectadas
La vulnerabilidad afecta a la gema Addressable desde la versión 2.3.0 hasta la 2.9.0. También impacta a:
- MRI Ruby en versiones anteriores a la 3.2.
- JRuby y TruffleRuby en la versión 40.0.
- Expresiones con signo más (
+) o numeral (#) en MRI Ruby 3.2.
Las versiones MRI Ruby 3.3 y posteriores, el análisis de URI estándar (URI parsing) y el método Template#expand no están afectados.
Impacto real y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 5.9 (severidad media) y está clasificada como CWE-1333 (Inefficient Regular Expression Complexity). Según los datos de Shodan, actualmente no hay hosts expuestos en internet detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directos. El INCIBE-CERT de España la clasifica con una severidad P (Prioritaria). No hay evidencia pública de que se esté explotando activamente.
Qué hacer (mitigación)
El problema se corrige en la versión 2.9.1 de la gema Addressable. La acción recomendada es actualizar la dependencia a esta versión o superior de inmediato.
| CVE | CVE-2026-126353 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-1333 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |