CVE-2021-32740

Addressable, Ruby standart kütüphanesinin bir parçası olan URI uygulamasının alternatif bir uygulamasıdır. Versiyon 2.3.0 sonrası ile versiyon 2.7.0 arasında kontrolsüz kaynak tüketimi zafiyeti bulunmaktadır. Addressable içerisindeki URI şablon uygulamasında, kötü niyetle oluşturulmuş bir şablon, bir URI ile eşleştirildiğinde kontrolsüz kaynak tüketimine yol açarak hizmet reddine (DoS) neden olabilir. Tipik kullanımda şablonlar normalde güvenilmeyen kullanıcı girişlerinden okunmaz; ancak buna rağmen, Addressable için yayınlanan önceki hiçbir güvenlik duyurusu bunu yapmamaları konusunda uyarıda bulunmamıştır. Addressable'ın ayrıştırma yeteneklerini kullanan ancak URI şablon yeteneklerini kullanmayan kullanıcılar etkilenmemektedir. Zafiyet versiyon 2.8.0 ile giderilmiştir. Geçici çözüm olarak, Template nesnelerini yalnızca yıkıcı geri izleme (catastrophic backtracking) üretmediği doğrulanmış güvenilir kaynaklardan oluşturun.