CVE-2026-57434

WysokieCVSS 7.5

Opublikowano: 25/06/2026(UTC)Zaktualizowano: 26/06/2026(UTC)Przetłumaczono: 27/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Nokogiri dla języka Ruby powoduje wywołanie dereferencji wskaźnika NULL podczas wywoływania określonych metod na zaalokowanych, ale niezainicjalizowanych natywnych klasach opakowujących dziedziczących po Nokogiri::XML::Node. Problem został naprawiony w wersji 1.19.4.

Ocena ryzyka

Atakujący może doprowadzić do awarii procesu (odmowa usługi) poprzez wykorzystanie tej podatności, co może zakłócić działanie aplikacji korzystających z biblioteki Nokogiri.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę Nokogiri do wersji 1.19.4 lub nowszej.

Inne podatności w Nokogiri (biblioteka XML/HTML dla języka Ruby) w wersjach przed 1.19.4

CVE-2026-57235Wysokie
Podatność w bibliotece Nokogiri dla języka Ruby umożliwia odczyt poza zakresem pamięci przez metodę Nokogiri::XML::NodeSet#[] (oraz jej alias #slice). Problem wynika z błędnego sprawdzania zakresu indeksu, który jest obcinany do 32 bitów przed walidacją, co pozwala na użycie bardzo dużego ujemnego indeksu i odczyt poza przydzieloną pamięcią. Na CRuby prowadzi to do awarii procesu, a na JRuby do zwrócenia nieprawidłowego węzła.

Oryginalny opis (angielski, źródło NVD)

Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.4, Nokogiri contains a bug when calling certain methods on allocated-but-uninitialized native wrapper classes that inherit from Nokogiri::XML::Node. This caused a NULL pointer dereference that could crash the process. This vulnerability is fixed in 1.19.4.