JVNDB-2026-021451

Nokogiriにおける複数の脆弱性

NokogiriはRubyプログラミング言語向けのオープンソースのXMLおよびHTMLライブラリです。バージョン1.19.4以前のNokogiriでは、Nokogiri::XML::Schemaでデフォルトで有効にしているNONET解析オプションがJRuby実装で正しく適用されていませんでした。そのため、デフォルトのオプションで解析されたスキーマがネットワーク経由で外部リソースを取得する可能性があり、SSRFやXXE攻撃を引き起こす恐れがありました。この脆弱性はバージョン1.19.4で修正されています。

Nokogiri

• Nokogiri 1.19.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247  Advisory  sparklemotion/nokogiri  GitHub

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]
2. 不完全なブラックリスト(CWE-184) [その他]
3. XML 外部エンティティ参照の不適切な制限(CWE-611) [その他]

1. CVE-2026-57234

1. National Vulnerability Database (NVD) : CVE-2026-57234

• [2026年06月29日]
    掲載