Veille sécuritéBackend & données
P4Faible
Dans certaines conditions, le sérialiseur HTML5 de Nokogiri n’échappait pas le texte des éléments `noscript` ni les chevrons dans les valeurs d’attributs, ce qui pouvait conduire à une XSS par mutation dans le navigateur. Sont concernés Nokogiri 1.12.0 à 1.19.4 sur CRuby et TruffleRuby, lorsque l’application autorise `noscript` dans du HTML non fiable ; JRuby n’est pas concerné.
HTML5Ruby
IdentifiantCVE-2026-126063
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNokogiri 1.19.5
Source : NVD — CVE-2026-126063
Analyse technique
Le navigateur avec scripts activés peut interpréter la sortie sérialisée comme du balisage que le parseur Nokogiri n’avait pas produit. Le correctif échappe ces contenus.
Impact, versions et correctif
Événement datéLa publication NVD fournie est horodatée 2026-11-10T21:19:23.990Z, soit 2026-11-10T23:19:23.990+02:00, dans la période. L’avis GitHub associé confirme le problème et le correctif.
ImpactXSS par mutation potentielle dans les applications qui assainissent du HTML non fiable, autorisent `noscript` et envoient le résultat sérialisé à un navigateur avec scripts activés.
Versions affectées>= 1.12.0, < 1.19.5 (extension C sur CRuby et TruffleRuby)
Version corrigéeNokogiri 1.19.5
ContournementPour les versions antérieures, analyser avec `parse_noscript_content_as_text: true` ou retirer les éléments `noscript`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Publication2026-11-10T21:19:23.990Z
Mise à jour2026-11-10T21:19:23.990Z
Action recommandée
Mettre à niveau vers Nokogiri 1.19.5 ou ultérieur ; à défaut, appliquer la mesure de contournement indiquée.
Sources
Priorisation DFS : P4 · 1 source(s).