CVE-2021-32740

Addressable, Ruby-nin standart kitabxanasının tərkibində olan URI implementasiyasına alternativ bir implementasiyadır. Versiya 2.3.0-dan versiya 2.7.0-a qədər olan versiyalarda idarə olunmayan resurs istehlakı zəifliyi mövcuddur. Addressable-dəki URI şablonu implementasiyasında, bədniyyətli şəkildə hazırlanmış şablon, bir URI ilə uyğunlaşdırıldıqda idarə olunmayan resurs istehlakına və nəticədə xidmətdən imtinaya (DoS) səbəb ola bilər. Tipik istifadə zamanı şablonlar normalda etibarsız istifadəçi girişindən oxunmur, lakin buna baxmayaraq, Addressable üçün əvvəlki heç bir təhlükəsizlik məsləhətində bunu etməmək barədə xəbərdarlıq edilməmişdir. Addressable-dəki analiz (parsing) imkanlarından istifadə edən, lakin URI şablonu imkanlarından istifadə etməyən istifadəçilərə bu təsir etmir. Zəiflik 2.8.0 versiyasında aradan qaldırılmışdır. Müvəqqəti həll yolu kimi, Template obyektlərini yalnız katastrofik geri qayıtma (catastrophic backtracking) yaratmadığı təsdiqlənmiş etibarlı mənbələrdən yaradın.