Vulnerabilidad en activesupport de rails (CVE-2026-33169)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
24/03/2026
Última modificación:
24/03/2026
Descripción
Active Support es un conjunto de herramientas de bibliotecas de soporte y extensiones del núcleo de Ruby extraídas del framework Rails. 'NumberToDelimitedConverter' utiliza una expresión regular basada en lookahead con 'gsub!' para insertar delimitadores de millares. Antes de las versiones 8.1.2.1, 8.0.4.1 y 7.2.3.1, la interacción entre el grupo lookahead repetido y 'gsub!' puede producir una complejidad de tiempo cuadrática en cadenas de dígitos largas. Las versiones 8.1.2.1, 8.0.4.1 y 7.2.3.1 contienen un parche.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* | 7.2.3.1 (excluyendo) | |
| cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* | 8.0.0 (incluyendo) | 8.0.4.1 (excluyendo) |
| cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* | 8.1.0 (incluyendo) | 8.1.2.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/rails/rails/commit/29154f1097da13d48fdb3200760b3e3da66dcb11
- https://github.com/rails/rails/commit/b54a4b373c6f042cab6ee2033246b1c9ecc38974
- https://github.com/rails/rails/commit/ec1a0e215efd27a3b3911aae6df978a80f456a49
- https://github.com/rails/rails/releases/tag/v7.2.3.1
- https://github.com/rails/rails/releases/tag/v8.0.4.1
- https://github.com/rails/rails/releases/tag/v8.1.2.1
- https://github.com/rails/rails/security/advisories/GHSA-cg4j-q9v8-6v38