JVNDB-2026-021442

Nokogiriにおける複数の脆弱性

NokogiriはRubyプログラミング言語向けのオープンソースのXMLおよびHTMLライブラリです。バージョン1.19.4以前のNokogiriのCRubyネイティブ拡張において、XML属性の値を置き換える際にRubyのラッパーが解放されたメモリを指し続ける可能性がありました。Rubyコードが既に属性の子ノードにアクセスしている場合、Nokogiri::XML::Attr#value=はドキュメントノードキャッシュを通じてラッパーを参照したまま、基盤となるネイティブの子ノードを解放することがあります。解放された子ノードの後続使用やRubyのGCマークが無効なポインタの逆参照を引き起こし、不正な読み込みやセグメンテーションフォルトを発生させる可能性があります。この脆弱性はバージョン1.19.4で修正されました。

Nokogiri

• Nokogiri 1.19.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Possible Use-After-Free when setting an attribute value via `Nokogiri::XML::Attr#value=` or `#content=`  Advisory  sparklemotion/nokogiri  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]
2. 期限切れのポインタデリファレンス(CWE-825) [その他]

1. CVE-2026-57435

1. National Vulnerability Database (NVD) : CVE-2026-57435

• [2026年06月29日]
    掲載