CVE-2026-25611: Addressable ReDoS Vulnerability Advisory

漏洞概述 地址: 漏洞名称: Regular Expression Denial of Service in Addressable templates (Addressable 模板中的正则表达式拒绝服务) CVE ID: CVE-2026-25611 CVSS 评分: 7.3 / 10 (High) 在 Addressable 的 URI 模板实现中，存在两类易受灾难性回溯（catastrophic backtracking）攻击的 URI 模板： 1. 使用 (explode) 修饰符配合任何扩展运算符（如 , 等）生成的模板，包含嵌套的无界量词。 2. 使用多个变量配合 或 运算符（如 ）生成的模板，由于逗号分隔符位于匹配字符类内，导致跨多个变量的模糊回溯。 当针对恶意构造的 URI 进行匹配时，会导致灾难性回溯和不受控制的资源消耗，从而引发拒绝服务（DoS）。 影响范围 受影响版本: 修复版本: 运行时状态: MRI Ruby 2.6, 2.7, 3.0, 3.1: Vulnerable (易受攻击) MRI Ruby 3.2, 3.3, 3.4, 4.0: Partially vulnerable (部分易受攻击，MRI Ruby 3.2 引入了 memoization 机制，仅能缓解第一类模板的攻击) JRuby 10.0, TruffleRuby 21.2: Vulnerable (易受攻击) 修复方案 1. 升级: 将 库升级到 版本。 2. 替代方案 (Workarounds): 如果应用不使用 JRuby 或 TruffleRuby，可升级至 MRI Ruby 3.2 或更高版本（MRI Ruby 3.2 的 memoization 可防止第一类模板的回溯）。 在未打补丁的版本上，避免在匹配用户提供的输入时使用以下易受攻击的模板模式： 使用 (explode) 修饰符的模板： , , , , , 使用多个变量配合 或 运算符的模板： 或 等语法。 * 对处理用户数据的 或 调用应用短暂的超时（short timeout）。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-25611: Addressable ReDoS Vulnerability Advisory

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-25611: Addressable ReDoS Vulnerability Advisory

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！