CVE-2026-35611

Addressable, Ruby-nin standart kitabxanasının tərkibində olan URI implementasiyasına alternativ bir implementasiyadır. 2.3.0 versiyasından 2.9.0 versiyasına qədər Addressable-dəki URI şablonu implementasiyasında iki sinifdən ibarət URI şablonu fəlakətli geri qayıtmaya (catastrophic backtracking) həssas olan müntəzəm ifadələr yaradır. Hər hansı genişlənmə operatoru ilə birlikdə * (explode) modifikatorundan istifadə edən şablonlar (məsələn, {foo*}, {+var*}, {#var*}, {/var*}, {.var*}, {;var*}, {?var*}, {&var*}) bədxah şəkildə hazırlanmış URI ilə uyğunlaşdırıldıqda O(2^n) mürəkkəbliyinə malik iç-içə məhdudiyyətsiz kvantifikatorları olan nümunələr yaradır. + və ya # operatorları ilə çoxlu dəyişənlərdən istifadə edən şablonlar (məsələn, {+v1,v2,v3}), vergül ayırıcısının uyğunlaşan simvol sinfinin daxilində olması səbəbindən k dəyişən arasında qeyri-müəyyən geri qayıtmaya səbəb olur və O(n^k) mürəkkəbliyinə malik nümunələr yaradır. Bədxah şəkildə hazırlanmış URI ilə uyğunlaşdırıldıqda bu, fəlakətli geri qayıtmaya və resursların nəzarətsiz istehlakına səbəb ola bilər ki, bu da xidmətdən imtinaya (DoS) gətirib çıxarır. Bu zəiflik 2.9.0 versiyasında aradan qaldırılıb.