CVE-2022-51000
KrytyczneCVSS 9.8Streszczenie
Nokogiri przed wersją 1.13.2 zawiera dołączone biblioteki libxml2 2.9.12 i libxslt 1.1.34, które mają dwie znane podatności. Poprzez CVE-2021-30560 w libxslt, aplikacja przetwarzająca XML z niezaufanymi arkuszami XSL może być podatna na atak DoS. Poprzez CVE-2022-23308 w libxml2, aplikacja parsująca niezaufany dokument z opcjami DTDVALID=true i NOENT=false może być podatna na DoS, ujawnienie pamięci lub wykonanie kodu.
Ocena ryzyka
Organizacja może doświadczyć przerw w działaniu usług (DoS) lub w skrajnych przypadkach wycieku danych lub zdalnego wykonania kodu, jeśli przetwarza niezaufane dokumenty XML lub XSL.
Rekomendacja
Zaktualizuj Nokogiri do wersji 1.13.2 lub nowszej, która zawiera poprawione wersje libxml2 i libxslt.
Oryginalny opis (angielski, źródło NVD)
Nokogiri before 1.13.2 (CRuby, when using packaged libraries) ships vendored libxml2 2.9.12 and libxslt 1.1.34, which are affected by two upstream CVEs. Via CVE-2021-30560 in libxslt, an application transforming XML with untrusted XSL stylesheets is vulnerable to a denial-of-service attack. Via CVE-2022-23308 in libxml2, an application parsing an untrusted document with parse option DTDVALID set to true and NOENT set to false may be vulnerable to denial of service, memory disclosure, or code execution. Nokogiri 1.13.2 upgrades vendored libxml2 to 2.9.13 and libxslt to 1.1.35.