CVE-2026-33635

iCalendar, RFC-5545 tərəfindən müəyyən edilmiş iCalendar formatındakı iCalendar faylları ilə işləmək üçün nəzərdə tutulmuş bir Ruby kitabxanasıdır. Versiya 2.0.0-dan başlayaraq və versiya 2.12.2-dən əvvəlki versiyalarda, .ics seryallaşdırılması zamanı URI xüsusiyyətinin dəyərləri düzgün şəkildə təmizlənmir. Bu, hücumçu tərəfindən idarə olunan giriş vasitəsilə ICS inyeksiyasına şərait yaradaraq çıxışa ixtiyari təqvim sətirlərinin əlavə edilməsinə imkan verir. `URI.parse` uğursuz olduqda, `Icalendar::Values::Uri` ilkin giriş sətirinə geri dönür və daha sonra `\r` və ya `\n` simvollarını silmədən və ya onlara escape tətbiq etmədən onu `value.to_s` ilə seryallaşdırır. Həmin dəyər normal seryallaşdırıcı tərəfindən birbaşa yekun ICS sətrinə daxil edilir, buna görə də CRLF ehtiva edən payload orijinal xüsusiyyəti sonlandıra və yeni bir ICS xüsusiyyəti və ya komponenti yarada bilər. (Görünən odur ki, bu səbəbdən url, source, image, organizer, attach, attendee, conference, tzurl vasitəsilə inyeksiya etmək mümkündür). Qismən etibarsız metadata əsasında `.ics` faylları generasiya edən tətbiqlər bundan təsirlənir. Nəticə etibarilə, aşağı axınlı təqvim kliyentləri və ya importerlər hücumçu tərəfindən təqdim edilmiş məzmunu sanki legitim hadisə məlumatlarıymış kimi (məsələn, əlavə edilmiş iştirakçılar, dəyişdirilmiş URL-lər, həyəcan siqnalları və ya digər təqvim sahələri) emal edə bilər. Versiya 2.12.2-də bu problem üçün yamaq mövcuddur.