CVE-2021-37714
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
jsoup to biblioteka Java do pracy z HTML. Używanie wersji przed 1.14.2 do parsowania niezaufanego HTML lub XML może prowadzić do ataków DoS — parser może się zawiesić, działać wolniej lub zgłosić nieoczekiwany wyjątek.
Ocena ryzyka
Atakujący może dostarczyć złośliwą treść, powodując wyczerpanie zasobów i niedostępność usługi parsującej.
Rekomendacja
Zaktualizuj jsoup do wersji 1.14.2 lub nowszej. Jako obejście stosuj limity rozmiaru wejścia, ograniczenia szybkości parsowania lub watchdogi wątków.
Inne podatności w jsoup
Zobacz wszystkie- CVE-2026-75140Wysokie
Biblioteka jsoup do wersji 1.23.2 zawiera podatność na niekontrolowane zużycie zasobów w klasie XmlTreeBuilder. Zdalny atakujący może dostarczyć głęboko zagnieżdżony dokument XML z unikalnie przestrzeniami nazw, co powoduje kwadratową złożoność czasową i pamięciową, prowadząc do wyczerpania pamięci JVM i przerwania działania aplikacji.
- CVE-2026-71497Średnie
jsoup to biblioteka Java do pracy z rzeczywistym HTML. Od wersji 1.14.3 do 1.23.1 parser HTML w jsoup mógł nieprawidłowo obsłużyć źle sformułowaną nazwę tagu kończącą się znakiem kontrolnym, powodując, że tag uzyskuje zachowanie parsowania innego elementu. Gdy niestandardowa lista dozwolonych (Safelist) zezwala na pewne elementy raw-text, to błędne parsowanie może spowodować, że treść, która powinna pozostać obojętnym tekstem, zostanie wyemitowana jako aktywny znacznik po serializacji, co może prowadzić do cross-site scripting. Wbudowane listy Safelist w jsoup nie są dotknięte. Problem naprawiono w wersji 1.23.1.
- CVE-2015-6748Średnie
Podatność na cross-site scripting (XSS) w jsoup przed wersją 1.8.3.
Oryginalny opis (angielski, źródło NVD)
jsoup is a Java library for working with HTML. Those using jsoup versions prior to 1.14.2 to parse untrusted HTML or XML may be vulnerable to DOS attacks. If the parser is run on user supplied input, an attacker may supply content that causes the parser to get stuck (loop indefinitely until cancelled), to complete more slowly than usual, or to throw an unexpected exception. This effect may support a denial of service attack. The issue is patched in version 1.14.2. There are a few available workarounds. Users may rate limit input parsing, limit the size of inputs based on system resources, and/or implement thread watchdogs to cap and timeout parse runtimes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS