¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-126354 afecta a la gema Addressable, una implementación alternativa para el manejo de URIs en Ruby. En las versiones desde la 2.2.5 hasta la 2.9.0, el método Addressable::URI.normalize_path puede resolver una ruta que contiene segmentos de directorio padre (como ..) de una manera diferente a la que especifica el estándar RFC 3986. Esto afecta a métodos como URI#normalize, URI#join, URI#== y URI#===.
El problema ocurre si una aplicación autoriza el acceso basándose en la ruta normalizada por Addressable, pero luego envía el URI original a otro componente (como un servidor de archivos o un proxy) que usa un método de resolución diferente (conforme a RFC 3986). Esta inconsistencia podría permitir a un atacante acceder a archivos o directorios fuera del camino permitido por la lista blanca de la aplicación.
Productos y versiones afectadas
Gema afectada: Addressable para Ruby.
Versiones vulnerables: Desde la versión 2.2.5 hasta la 2.9.0 (inclusive).
Versión corregida: La versión 2.9.1 soluciona el problema.
Impacto y clasificación
La vulnerabilidad está clasificada como CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') y CWE-436: Interpretation Conflict. Tiene una puntuación CVSS de 4.8 (severidad media). El INCIBE-CERT de España la clasifica con severidad P (Puntual).
¿Se está explotando?
Según los datos disponibles, actualmente no hay hosts indexados en Shodan detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directamente expuestos en Internet. La técnica MITRE ATT&CK asociada es T1083 – File and Directory Discovery.
¿Qué hacer?
Los desarrolladores que utilicen la gema Addressable deben actualizar a la versión 2.9.1 o superior de inmediato. Las aplicaciones que usan el mismo valor normalizado para autorización y para la solicitud, o que rechazan explícitamente los segmentos padre (como ..) en las rutas, no están afectadas.
| CVE | CVE-2026-126354 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 4.8 / 10 |
| CWE | CWE-22, CWE-436 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.