CVE-2022-29181highCWE-241

CVE-2022-29181: falha de alta gravidade em sparklemotion nokogiri

Improper Handling of Unexpected Data Type in Nokogiri

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar nokogiri+ Monitorar nokogiri

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.2epss 3.2%
Em resumo

O Nokogiri, uma biblioteca Ruby popular para processar XML e HTML, não valida corretamente os tipos de dados antes de fazer a análise. Isso permite que invasores enviem dados especialmente preparados que podem derrubar a aplicação ou vazar informações sensíveis da memória.

Detalhe técnico

CVE-2022-29181 explora verificação de tipos insuficiente nos analisadores SAX (XML/HTML4) do Nokogiri através de vetores de entrada não confiável, resultando em acesso à memória fora dos limites, falhas de segmentação ou vazamento de informações. A pré-condição requer processar dados fornecidos pelo usuário ou obtidos de rede através dos métodos do analisador afetados sem validação de tipo prévia. O impacto inclui negação de serviço e possível vazamento de informações da memória.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Nokogiri is an open source XML and HTML library for Ruby. Nokogiri prior to version 1.13.6 does not type-check all inputs into the XML and HTML4 SAX parsers, allowing specially crafted untrusted inputs to cause illegal memory access errors (segfault) or reads from unrelated memory. Version 1.13.6 contains a patch for this issue. As a workaround, ensure the untrusted input is a `String` by calling `#to_s` or equivalent.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
Produtos afetados
sparklemotion · nokogiri
CVEs relacionadas — sparklemotion nokogiri

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24836HIGHInefficient Regular Expression Complexity in NokogiriEPSS 3.5%CVE-2022-23476HIGHUnchecked return value from xmlTextReaderExpand in NokogiriEPSS 1.8%CVE-2021-41098HIGHImproper Restriction of XML External Entity Reference (XXE) in Nokogiri on JRubyEPSS 1.5%CVE-2020-26247LOWXXE in NokogiriEPSS 1.2%CVE-2026-79770HIGHNokogiri before 1.19.3 ReDoS via CSS selector tokenizerEPSS 0.5%CVE-2026-57435LOWNokogiri: Possible Use-After-Free when setting an attribute value via `Nokogiri::XML::Attr#value=` or `#content=`EPSS 0.5%