CVE-2026-35611

Addressable, Ruby standart kütüphanesinin bir parçası olan URI uygulamasının alternatif bir uygulamasıdır. 2.3.0 ile 2.9.0 versiyonları arasında, Addressable içindeki URI şablon uygulamasında, iki sınıf URI şablonu yıkıcı geri izleme (catastrophic backtracking) zafiyeti içeren düzenli ifadeler oluşturur. Herhangi bir genişletme operatörüyle birlikte * (patlatma/explode) değiştiricisi kullanan şablonlar (örneğin, {foo*}, {+var*}, {#var*}, {/var*}, {.var*}, {;var*}, {?var*}, {&var*}), kötü niyetle hazırlanmış bir URI ile eşleştirildiğinde O(2^n) karmaşıklığa sahip, iç içe geçmiş sınırsız belirleyiciler içeren desenler oluşturur. + veya # operatörleri ile birden fazla değişken kullanan şablonlar (örneğin, {+v1,v2,v3}), virgül ayırıcısının eşleşen karakter sınıfı içinde olması nedeniyle k değişkeni boyunca belirsiz geri izlemeye yol açarak O(n^k) karmaşıklıkta desenler oluşturur. Kötü niyetle hazırlanmış bir URI ile eşleştirildiğinde bu durum, yıkıcı geri izlemeye ve kontrolsüz kaynak tüketimine yol açarak hizmet reddine (denial of service) neden olabilir. Bu zafiyet 2.9.0 versiyonunda giderilmiştir.