Veille sécuritéBackend & données
P4Faible
L’extension native CRuby de Nokogiri peut laisser des wrappers Ruby référencer des nœuds natifs libérés après le remplacement d’une valeur d’attribut, si les nœuds enfants de cet attribut ont été consultés auparavant. Leur utilisation ultérieure peut provoquer une lecture invalide ou un plantage ; mettre à niveau vers 1.19.5 ou éviter cet enchaînement d’opérations, et noter que JRuby n’est pas affecté.
Ruby
IdentifiantCVE-2026-126064
GravitéFaible
Exploitationnon connue / non déterminée
Correctif1.19.5
Analyse technique
Le problème concerne Nokogiri::XML::Node#[]= et Nokogiri::XML::Node#lang= après accès aux enfants de l’attribut.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-10T21:19:24.147Z, soit le 2026-11-10T23:19:24.147+02:00. L’avis GHSA correspondant a été publié le 2026-11-10T20:51:19Z, également dans la période.
ImpactPeut provoquer une lecture mémoire invalide ou un plantage du processus.
Versions affectéesNokogiri antérieur à 1.19.5 sur CRuby.
Version corrigée1.19.5
ContournementÉviter d’accéder directement aux enfants d’un attribut avant de remplacer sa valeur.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2
Publication2026-11-10T23:19:24.147+02:00
Mise à jour2026-11-10T23:19:24.147+02:00
Action recommandée
Mettre à niveau Nokogiri vers 1.19.5 ou ultérieur.
Sources
Priorisation DFS : P4 · 2 source(s).