CVE-2026-75140

WysokieCVSS 7.5

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 20/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Streszczenie

Biblioteka jsoup do wersji 1.23.2 zawiera podatność na niekontrolowane zużycie zasobów w klasie XmlTreeBuilder. Zdalny atakujący może dostarczyć głęboko zagnieżdżony dokument XML z unikalnie przestrzeniami nazw, co powoduje kwadratową złożoność czasową i pamięciową, prowadząc do wyczerpania pamięci JVM i przerwania działania aplikacji.

Ocena ryzyka

Atak może doprowadzić do awarii aplikacji (OutOfMemoryError), co skutkuje przerwaniem usługi i potencjalną niedostępnością systemu dla użytkowników.

Rekomendacja

Zaktualizuj bibliotekę jsoup do wersji zawierającej poprawkę (commit 862ba2f) lub nowszej, aby wyeliminować podatność.

Inne podatności w jsoup

CVE-2026-71497Średnie
jsoup to biblioteka Java do pracy z rzeczywistym HTML. Od wersji 1.14.3 do 1.23.1 parser HTML w jsoup mógł nieprawidłowo obsłużyć źle sformułowaną nazwę tagu kończącą się znakiem kontrolnym, powodując, że tag uzyskuje zachowanie parsowania innego elementu. Gdy niestandardowa lista dozwolonych (Safelist) zezwala na pewne elementy raw-text, to błędne parsowanie może spowodować, że treść, która powinna pozostać obojętnym tekstem, zostanie wyemitowana jako aktywny znacznik po serializacji, co może prowadzić do cross-site scripting. Wbudowane listy Safelist w jsoup nie są dotknięte. Problem naprawiono w wersji 1.23.1.

Oryginalny opis (angielski, źródło NVD)

jsoup through 1.23.2, fixed in commit 862ba2f, contains an uncontrolled resource consumption vulnerability in XmlTreeBuilder that allows remote attackers to exhaust JVM heap memory by supplying a deeply nested XML document with uniquely-namespaced elements. The builder copies the entire inherited namespace map on every start element, causing quadratic time and memory complexity, which attackers can exploit to trigger an OutOfMemoryError and terminate the application.