CVE-2022-24836highCWE-1333CWE-400

CVE-2022-24836: falha de alta gravidade em sparklemotion nokogiri

Inefficient Regular Expression Complexity in Nokogiri

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar nokogiri+ Monitorar nokogiri

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 3.5%
Em resumo

Nokogiri versões anteriores à 1.13.4 possuem um padrão de busca mal projetado que pode travar ou derrubar aplicações ao processar documentos HTML especialmente preparados. Atacantes conseguem causar negação de serviço enviando HTML com codificação que dispara processamento excessivo.

Detalhe técnico

CVE-2022-24836 envolve ReDoS (Negação de Serviço por Expressão Regular) no mecanismo de detecção de codificação HTML do Nokogiri através de backtracking ineficiente em regex (CWE-1333, CWE-400). O vetor de ataque requer envio de HTML malformado para aplicações usando Nokogiri vulnerável; o impacto é indisponibilidade da aplicação por esgotamento de CPU.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Nokogiri is an open source XML and HTML library for Ruby. Nokogiri `< v1.13.4` contains an inefficient regular expression that is susceptible to excessive backtracking when attempting to detect encoding in HTML documents. Users are advised to upgrade to Nokogiri `>= 1.13.4`. There are no known workarounds for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
sparklemotion · nokogiri
CVEs relacionadas — sparklemotion nokogiri

No mesmo produto, das mais perigosas para as menos.

CVE-2022-29181HIGHImproper Handling of Unexpected Data Type in NokogiriEPSS 3.2%CVE-2022-23476HIGHUnchecked return value from xmlTextReaderExpand in NokogiriEPSS 1.8%CVE-2021-41098HIGHImproper Restriction of XML External Entity Reference (XXE) in Nokogiri on JRubyEPSS 1.5%CVE-2020-26247LOWXXE in NokogiriEPSS 1.2%CVE-2026-79770HIGHNokogiri before 1.19.3 ReDoS via CSS selector tokenizerEPSS 0.5%CVE-2026-57435LOWNokogiri: Possible Use-After-Free when setting an attribute value via `Nokogiri::XML::Attr#value=` or `#content=`EPSS 0.5%