CVE-2026-57235

WysokieCVSS 8.2

Opublikowano: 25/06/2026(UTC)Zaktualizowano: 26/06/2026(UTC)Przetłumaczono: 27/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Nokogiri dla języka Ruby umożliwia odczyt poza zakresem pamięci przez metodę Nokogiri::XML::NodeSet#[] (oraz jej alias #slice). Problem wynika z błędnego sprawdzania zakresu indeksu, który jest obcinany do 32 bitów przed walidacją, co pozwala na użycie bardzo dużego ujemnego indeksu i odczyt poza przydzieloną pamięcią. Na CRuby prowadzi to do awarii procesu, a na JRuby do zwrócenia nieprawidłowego węzła.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji (odmowa usługi) lub potencjalnie do odczytu wrażliwych danych z pamięci, co zagraża poufności i dostępności systemu.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę Nokogiri do wersji 1.19.4 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w Nokogiri (biblioteka XML/HTML dla języka Ruby) w wersjach przed 1.19.4

CVE-2026-57434Wysokie
Podatność w bibliotece Nokogiri dla języka Ruby powoduje wywołanie dereferencji wskaźnika NULL podczas wywoływania określonych metod na zaalokowanych, ale niezainicjalizowanych natywnych klasach opakowujących dziedziczących po Nokogiri::XML::Node. Problem został naprawiony w wersji 1.19.4.

Oryginalny opis (angielski, źródło NVD)

Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, Nokogiri::XML::NodeSet#[] (and its alias #slice) checked the requested index against the node set's bounds using a 32-bit-truncated copy of the index. A large negative index could pass the check and then be used at full width, reading outside the node set's storage. On CRuby this is an out-of-bounds read that typically crashes the process; on JRuby it is not memory-unsafe but returns an incorrect node. This vulnerability is fixed in 1.19.4.