CVE-2026-44312
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
css_parser to parser CSS dla języka Ruby. W wersjach przed 2.1.0 i 1.22.0 gem CSS Parser nie waliduje połączeń HTTPS, umożliwiając atakującemu typu Man-in-the-Middle (MITM) wstrzyknięcie lub modyfikację treści CSS podczas ładowania arkuszy stylów przez HTTPS. Połączenie jest nawiązywane z OpenSSL::SSL::VERIFY_NONE, co oznacza, że każdy certyfikat HTTPS — nawet całkowicie niezaufany — zostanie zaakceptowany bez walidacji.
Ocena ryzyka
Atakujący w pozycji MITM może modyfikować ładowane arkusze stylów CSS, co może prowadzić do wstrzyknięcia złośliwej treści lub wycieku danych. Ryzyko dotyczy aplikacji Ruby wykorzystujących css_parser do pobierania zdalnych arkuszy stylów przez HTTPS.
Rekomendacja
Zaktualizuj gem css_parser do wersji 2.1.0 lub 1.22.0 (lub nowszej). Do czasu aktualizacji unikaj ładowania arkuszy stylów przez HTTPS z niezaufanych źródeł.
Inne podatności w css_parser
Zobacz wszystkie- GHSA-w3mx-4vv9-hjpgŚrednie
Biblioteka css_parser, przetwarzając CSS zawierający regułę @import, przekazuje ścieżkę importu kontrolowaną przez atakującego bezpośrednio do load_file!, gdzie wykonywane jest File.expand_path, a następnie File.read bez weryfikacji ścieżki. Występuje to, gdy wywołujący podał opcję :base_dir, ale nie :base_uri.
- GHSA-84w7-hpvm-rxx2Nieznane
Funkcja expand_shorthand! (oraz wywoływana przez nią expand_dimensions_shorthand!) uruchamia regex RE_FUNCTIONS na wartościach deklaracji. Regex ten zawiera zagnieżdżony kwantyfikator wewnątrz grupy, która może się rekursywnie odwoływać, co przy wartościach otwierających funkcję CSS bez jej zamknięcia prowadzi do wykładniczego wzrostu czasu dopasowania.
- CVE-2026-53727Wysokie
Podatność SSRF w bibliotece Ruby css_parser w wersjach od 2.2.0 do 3.0.0. Metoda read_remote_file wysyła żądania HTTP/HTTPS do dowolnego hosta bez filtrowania, a przekierowania mogą prowadzić do odczytu lokalnych plików (file://).
Oryginalny opis (angielski, źródło NVD)
css_parser is a Ruby CSS parser. Prior to 2.1.0 and 1.22.0, the CSS Parser gem does not validate HTTPS connections, allowing a Man-in-the-Middle (MITM) attacker to inject or modify CSS content when stylesheets are loaded via HTTPS. The connection is established with OpenSSL::SSL::VERIFY_NONE, meaning any HTTPS certificate—even entirely untrusted—will be accepted without validation. This vulnerability is fixed in 2.1.0 and 1.22.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS