Objavljene su ispravke za programski jezik Ruby 3.3.13, 3.4.12 i 4.0.9, u kojima je ispravljena kriti\u010dna sigurnosna ranjivost (CVE-2026-110264) koja dovodi do cjelobrojnog prelivanja prilikom kompajliranja specijalno oblikovanih regularnih izraza. Ranjivost se mo\u017ee iskoristiti za napade na projekte napisane u Rubyju koji koriste vanjske podatke u regularnim izrazima. Osim toga, potvr\u0111ena je mogu\u0107nost eksploatacije ranjivosti za daljinsko izvr\u0161avanje koda na platformi zajedni\u010dkog razvoja GitLab. Problem je dodatno blokiran u a\u017euriranjima GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 i 18.11.13. Ranjivosti je dodijeljen nivo opasnosti 10 od 10. <\/p>\n
Ranljivost se nalazi u motoru za regularne izraze Onigmo i dovodi do prekomjernog punjenja unutarnjih identifikatora prilikom kompajliranja uzorka s velikim brojem ponavljanja. Problem se manifestira samo u aplikacijama koje koriste vanjske podatke u regularnim izrazima, obra\u0111ivanim putem metoda Regexp.new, Regexp.union i Regexp.compile ili literala oblika «\\\/#{input}\\\/». Ograni\u010denje veli\u010dine regularnog izraza ili vremena obrade putem metode Regexp.timeout ne blokira ranljivost, jer se za napad mogu koristiti kratki uzorci. <\/p>\n
U GitLabu ranjivost mo\u017ee biti eksploatisana od strane neautoriziranog korisnika zbog umetanja vanjskih podataka u regularni izraz. Detalji metode eksploatacije trenutno nisu otkriveni (prema pravilima GitLaba informacije postaju dostupne 30 dana nakon objavljivanja ispravke), dok se u mre\u017ei ve\u0107 bilje\u017ee poku\u0161aji napada na korisnike GitLaba. Indikatori mogu\u0107eg napada mogu uklju\u010divati pove\u0107anje broja izvanrednih zavr\u0161etaka Ruby interpretera i rast gre\u0161aka u logovima vezanih za isteknu\u0107e vremena za prikaz stranice prilikom obrade org-datoteka.<\/p>\n