PT-2026-30910 · Unknown · Addressable

Sporkmonger · Publicado 2026-04-07 · Atualizado 2026-04-17 · CVE-2026-35611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions Addressable versões 2.3.0 através de 2.8.9

Description Addressable, uma implementação alternativa de URI para Ruby, contém uma falha em sua implementação de template de URI. Templates que utilizam o modificador '' (explode) com qualquer operador de expansão (por exemplo, {foo}, {+var*}, {#var*}, {/var*}, {.var*}, {;var*}, {?var*}, {&var*}) geram expressões regulares suscetíveis a backtracking catastrófico quando correspondidas a URIs criadas maliciosamente. Da mesma forma, templates com várias variáveis usando os operadores '+' ou '#' (por exemplo, {+v1,v2,v3}) também podem levar a backtracking catastrófico devido ao separador de vírgula dentro da classe de caracteres correspondida. Isso pode resultar em consumo descontrolado de recursos e negação de serviço.

Recommendations Atualize para a versão 2.9.0 ou posterior.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-35611

GHSA-H27X-RFFW-24P4

OESA-2026-1967

Produtos afetados

Addressable

Referências · 16

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/addressable/CVE-2026-35611.yml · Exploit
• https://github.com/sporkmonger/addressable/security/advisories/GHSA-h27x-rffw-24p4 · Aviso do Fabricante
• https://github.com/sporkmonger/addressable/commit/0afcb0b9672bee301e5e96ed850fec05b2fcabb0 · Nota
• https://github.com/sporkmonger/addressable/commit/91915c1f7aafa3e2c9f42e2f4e21d948c7a861b8 · Nota
• https://github.com/sporkmonger/addressable/commit/c87f768f22ab00376ed2f8cb106f59c9d0652d3a · Nota
• https://github.com/sporkmonger/addressable · Nota
• https://osv.dev/vulnerability/OESA-2026-1967 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35611 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35611 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-35611 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-35611 · Nota de Segurança
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-1967 · Nota
• https://twitter.com/CVEnew/status/2041569984200241421 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-35611 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35611 · Aviso do Fabricante