CVE-2026-33635

iCalendar, RFC-5545 tarafından tanımlanan iCalendar formatındaki iCalendar dosyalarını işlemek için kullanılan bir Ruby kütüphanesidir. Versiyon 2.0.0'dan başlayarak versiyon 2.12.2 öncesine kadar olan sürümlerde, .ics serileştirmesi URI özellik değerlerini uygun şekilde temizlememekte; bu durum saldırgan kontrollü girdiler aracılığıyla ICS enjeksiyonuna izin vererek çıktıya rastgele takvim satırlarının eklenmesine yol açmaktadır. `URI.parse` başarısız olduğunda `Icalendar::Values::Uri`, ham girdi dizesine geri dönmekte ve daha sonra `\r` veya `\n` karakterlerini kaldırmadan veya kaçırmadan `value.to_s` ile serileştirmektedir. Bu değer, normal serileştirici tarafından doğrudan nihai ICS satırına gömülür, böylece CRLF içeren bir yük orijinal özelliği sonlandırabilir ve yeni bir ICS özelliği veya bileşeni oluşturabilir. (Bu nedenle url, source, image, organizer, attach, attendee, conference, tzurl üzerinden enjeksiyon yapılabildiği görülmektedir). Kısmen güvenilmeyen meta verilerden `.ics` dosyaları oluşturan uygulamalar etkilenmektedir. Sonuç olarak, alt akıştaki takvim istemcileri veya içe aktarıcılar, saldırgan tarafından sağlanan içeriği; eklenen katılımcılar, değiştirilmiş URL'ler, alarmlar veya diğer takvim alanları gibi meşru etkinlik verileriymiş gibi işleyebilir. Versiyon 2.12.2, sorun için bir yama içermektedir.