CVE-2026-71497
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
jsoup to biblioteka Java do pracy z rzeczywistym HTML. Od wersji 1.14.3 do 1.23.1 parser HTML w jsoup mógł nieprawidłowo obsłużyć źle sformułowaną nazwę tagu kończącą się znakiem kontrolnym, powodując, że tag uzyskuje zachowanie parsowania innego elementu. Gdy niestandardowa lista dozwolonych (Safelist) zezwala na pewne elementy raw-text, to błędne parsowanie może spowodować, że treść, która powinna pozostać obojętnym tekstem, zostanie wyemitowana jako aktywny znacznik po serializacji, co może prowadzić do cross-site scripting. Wbudowane listy Safelist w jsoup nie są dotknięte. Problem naprawiono w wersji 1.23.1.
Ocena ryzyka
Ryzyko dla organizacji to możliwość wystąpienia ataków XSS w aplikacjach używających jsoup z niestandardowymi listami dozwolonych, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się zaktualizowanie biblioteki jsoup do wersji 1.23.1 lub nowszej, która zawiera poprawkę tej podatności, oraz przegląd niestandardowych list dozwolonych pod kątem ryzyka.
Inne podatności w jsoup
Zobacz wszystkie- CVE-2021-37714Wysokie
jsoup to biblioteka Java do pracy z HTML. Używanie wersji przed 1.14.2 do parsowania niezaufanego HTML lub XML może prowadzić do ataków DoS — parser może się zawiesić, działać wolniej lub zgłosić nieoczekiwany wyjątek.
- CVE-2026-75140Wysokie
Biblioteka jsoup do wersji 1.23.2 zawiera podatność na niekontrolowane zużycie zasobów w klasie XmlTreeBuilder. Zdalny atakujący może dostarczyć głęboko zagnieżdżony dokument XML z unikalnie przestrzeniami nazw, co powoduje kwadratową złożoność czasową i pamięciową, prowadząc do wyczerpania pamięci JVM i przerwania działania aplikacji.
- CVE-2015-6748Średnie
Podatność na cross-site scripting (XSS) w jsoup przed wersją 1.8.3.
Oryginalny opis (angielski, źródło NVD)
jsoup is a Java library for working with real-world HTML. From 1.14.3 until 1.23.1, jsoup's HTML parser could incorrectly handle a malformed tag name ending in a control character, causing the tag to acquire the parsing behavior of a different element. When a custom Safelist permits certain raw-text elements, this misparsing can cause content that should remain inert text to be emitted as active markup after serialization, potentially resulting in cross-site scripting. jsoup's built-in Safelists are not affected. This issue is fixed in version 1.23.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS