CVE-2020-26247
Açıklama
Nokogiri; XPath ve CSS seçici desteği ile HTML, XML, SAX ve Reader ayrıştırıcıları sağlayan bir Rubygem'dir. Nokogiri'nin 1.11.0.rc4 sürümünden önceki versiyonlarında bir XXE zafiyeti bulunmaktadır. Nokogiri::XML::Schema tarafından ayrıştırılan XML Şemaları varsayılan olarak güvenilir kabul edilir; bu durum ağ üzerinden harici kaynaklara erişilmesine izin vererek potansiyel olarak XXE veya SSRF saldırılarını mümkün kılar. Bu davranış, Nokogiri geliştiricileri tarafından takip edilen ve mümkün olduğunca tüm girdilerin varsayılan olarak güvenilmez kabul edilmesi gerektiğini belirten güvenlik politikasına aykırıdır. Bu sorun Nokogiri 1.11.0.rc4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- nokogiri nokogiri1.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nokogiri nokogiri | v < 1.11.0, 1.11.0 | 1.11.0 |
| debian debian_linux | 9.0, 10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.