CVE-2025-10990

WysokieCVSS 7.5

Opublikowano: 27/02/2026(UTC)Zaktualizowano: 26/06/2026(UTC)Przetłumaczono: 27/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

W REXML wykryto podatność polegającą na nieefektywnym przetwarzaniu wyrażeń regularnych podczas obsługi szesnastkowych odwołań numerycznych znaków (&#x...;) w dokumentach XML. Zdalny atakujący może wykorzystać ten błąd do przeprowadzenia ataku typu Regular Expression Denial of Service (ReDoS), co wpływa na dostępność komponentu. Problem wynika z niekompletnej poprawki dla CVE-2024-49761.

Ocena ryzyka

Organizacja narażona jest na przerwanie działania usług korzystających z REXML, co może prowadzić do niedostępności aplikacji przetwarzających dane XML.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę REXML do wersji zawierającej pełną poprawkę dla CVE-2024-49761 oraz CVE-2025-10990.

Inne podatności w REXML

CVE-2025-58767Niskie
REXML to zestaw narzędzi XML dla Ruby. Wersje REXML od 3.3.3 do 3.4.1 mają podatność na atak DoS podczas parsowania XML zawierającego wiele deklaracji XML. Jeśli przetwarzasz niezaufane XML-e, możesz być narażony na tę podatność. Wersja REXML 3.4.2 lub nowsza zawiera poprawki.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in REXML. A remote attacker could exploit inefficient regular expression (regex) parsing when processing hex numeric character references (&#x...;) in XML documents. This could lead to a Regular Expression Denial of Service (ReDoS), impacting the availability of the affected component. This issue is the result of an incomplete fix for CVE-2024-49761.