CVE-2026-57236
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 — wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Nokogiri (wersje przed 1.19.4) dla języka Ruby. Wywołanie metody Document#encoding= z nieprawidłowym kodowaniem (np. niebędącym ciągiem znaków lub zawierającym bajt null) powoduje zwolnienie pamięci przechowującej bieżące kodowanie dokumentu bez jej zastąpienia. Kolejne odwołanie do Document#encoding odczytuje zwolnioną pamięć, co może prowadzić do błędu segfault lub wycieku danych do obiektu String w Ruby. Problem dotyczy tylko implementacji CRuby (libxml2); JRuby nie jest zagrożony.
Ocena ryzyka
Ryzyko obejmuje awarię aplikacji (segfault) lub potencjalny wyciek poufnych danych z pamięci do widocznych dla użytkownika ciągów znaków, co może naruszyć integralność i poufność systemu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Nokogiri do wersji 1.19.4 lub nowszej. W przypadku braku możliwości aktualizacji, unikać przekazywania nieprawidłowych wartości do metody Document#encoding=.
Oryginalny opis (angielski, źródło NVD)
Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, calling Document#encoding= with an invalid encoding (e.g., a non-string, or a string containing a null byte) raises an exception, but only after freeing the document's current encoding string without replacing it. The document is left referencing freed memory, so the next call to Document#encoding reads invalid memory, which can cause a segfault or leak freed bytes into a Ruby String. Affects the CRuby (libxml2) implementation only; JRuby is not affected. This vulnerability is fixed in 1.19.4.