CVE-2022-24836highCWE-1333CWE-400

CVE-2022-24836: fallo de gravedad alta en sparklemotion nokogiri

Inefficient Regular Expression Complexity in Nokogiri

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear nokogiri+ Monitorear nokogiri

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 3.5%
En resumen

Nokogiri versiones anteriores a 1.13.4 contienen un patrón de búsqueda mal diseñado que puede congelar o bloquear aplicaciones al procesar documentos HTML especialmente construidos. Los atacantes pueden causar denegación de servicio enviando HTML con codificación que desencadena procesamiento excesivo.

Detalle técnico

CVE-2022-24836 implica ReDoS (Negación de Servicio por Expresión Regular) en el mecanismo de detección de codificación HTML de Nokogiri mediante backtracking ineficiente en regex (CWE-1333, CWE-400). El vector de ataque requiere enviar HTML malformado a aplicaciones que usan Nokogiri vulnerable; el impacto es la indisponibilidad de la aplicación por agotamiento de CPU.

Resumen generado y traducido por IA a partir de la descripción oficial.
Nokogiri is an open source XML and HTML library for Ruby. Nokogiri `< v1.13.4` contains an inefficient regular expression that is susceptible to excessive backtracking when attempting to detect encoding in HTML documents. Users are advised to upgrade to Nokogiri `>= 1.13.4`. There are no known workarounds for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
sparklemotion · nokogiri
CVEs relacionadas — sparklemotion nokogiri

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-29181HIGHImproper Handling of Unexpected Data Type in NokogiriEPSS 3.2%CVE-2022-23476HIGHUnchecked return value from xmlTextReaderExpand in NokogiriEPSS 1.8%CVE-2021-41098HIGHImproper Restriction of XML External Entity Reference (XXE) in Nokogiri on JRubyEPSS 1.5%CVE-2020-26247LOWXXE in NokogiriEPSS 1.2%CVE-2026-79770HIGHNokogiri before 1.19.3 ReDoS via CSS selector tokenizerEPSS 0.5%CVE-2026-57435LOWNokogiri: Possible Use-After-Free when setting an attribute value via `Nokogiri::XML::Attr#value=` or `#content=`EPSS 0.5%