Veille sécuritéBackend & données
P4Faible
Sur JRuby, Nokogiri peut contourner la restriction NONET lors de l’analyse de XML non fiable avec certaines options DTD, notamment lorsque des identifiants externes utilisent des formes particulières d’hôtes IPv4 ou des chemins absolus résolus contre une URL réseau. Cela peut permettre une requête réseau côté serveur ; mettre à niveau vers Nokogiri 1.19.5, sachant que CRuby et les options d’analyse par défaut ne sont pas affectés.
Ruby
IdentifiantCVE-2026-126062
GravitéFaible
Exploitationnon connue / non déterminée
Correctif1.19.5
Source : NVD — CVE-2026-126062
Analyse technique
Le contournement peut entraîner des requêtes réseau lors de la résolution d’un DTD ou d’une entité externe.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-10T20:19:10.030Z, soit le 2026-11-10T22:19:10.030+02:00, dans la période.
ImpactUne application vulnérable peut effectuer des requêtes réseau non prévues, avec un risque de SSRF.
Versions affectéesNokogiri antérieur à 1.19.5 sur JRuby, avec DTDLOAD, DTDVALID ou NOENT.
Version corrigée1.19.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
Publication2026-11-10T22:19:10.030+02:00
Mise à jour2026-11-10T22:19:10.030+02:00
Action recommandée
Mettre à niveau Nokogiri vers 1.19.5 ou ultérieur ; examiner l’usage des options DTD sur JRuby.
Sources
Priorisation DFS : P4 · 1 source(s).