CVE-2026-126062

Nome do Software Vulnerável e Versões Afetadas Nokogiri versões anteriores a 1.19.5

Description No JRuby, a opção de análise NONET não bloqueia DTDs ou entidades externas quando o identificador do sistema usa um host IPv4 de forma abreviada (ex: http://127.1/) ou um caminho absoluto (ex: /x.dtd) resolvido em relação a uma URL de rede. Quando uma aplicação analisa XML não confiável usando DTDLOAD, DTDVALID ou NOENT, o resolvedor pode tratar esses identificadores como locais e iniciar uma requisição de rede, potencialmente permitindo server-side request forgery (SSRF), que é uma técnica usada para induzir um servidor a fazer requisições para um local não pretendido.

Recommendations Atualize para a versão 1.19.5. Evite habilitar DTDLOAD, DTDVALID ou NOENT para entradas não confiáveis.