PT-2026-144661
CVE-2026-126062
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Nokogiri الإصدارات السابقة إلى 1.19.5
Description
في JRuby، يفشل خيار التحليل
NONET في حظر DTDs أو الكيانات الخارجية عندما يستخدم معرف النظام مضيف IPv4 بصيغة مختصرة (مثل http://127.1/) أو مسارًا مطلقًا (مثل /x.dtd) يتم حله مقابل عنوان URL للشبكة. عندما يقوم تطبيق بتحليل XML غير موثوق باستخدام DTDLOAD أو DTDVALID أو NOENT ، فقد يتعامل المحلل مع هذه المعرفات على أنها محلية ويرسل طلب شبكة، مما قد يسمح بتزوير الطلبات من جانب الخادم (SSRF)، وهي تقنية تُستخدم لدفع الخادم إلى إرسال طلبات إلى موقع غير مقصود.Recommendations
التحديث إلى الإصدار 1.19.5.
تجنب تفعيل
DTDLOAD أو DTDVALID أو NOENT للمدخلات غير الموثوقة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾