CVE-2022-23476: falha de alta gravidade em sparklemotion nokogiri
Unchecked return value from xmlTextReaderExpand in Nokogiri
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Nokogiri não verifica corretamente se uma função teve sucesso ao processar XML, o que pode derrubar o programa ao lidar com XML malformado. Isso é um risco se sua aplicação processa dados XML de fontes não confiáveis.
O CVE-2022-23476 envolve falta de validação do valor retornado por xmlTextReaderExpand no método XML::Reader#attribute_hash do Nokogiri, causando desreferência de ponteiro nulo com markup malformado. O vetor de ataque é entrada XML não confiável sem autenticação necessária; o impacto é negação de serviço por travamento da aplicação.
No mesmo produto, das mais perigosas para as menos.