CVE-2026-79770
Publiée le 2026-08-25 · Dernière modification le 2026-09-01
Les applications Ruby utilisant la bibliothèque Nokogiri (versions antérieures à 1.19.3) sont affectées par une faille dans la manière dont les sélecteurs CSS sont traités. Un attaquant non authentifié peut envoyer un sélecteur CSS spécialement conçu via le réseau pour provoquer une utilisation excessive du processeur, ce qui peut geler ou faire planter l'application. Cette attaque est facile à exécuter car elle ne nécessite aucun accès préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Nokogiri versions before 1.19.3 contain regular expression denial of service vulnerabilities in the CSS selector tokenizer affecting string-literal and identifier tokenization. Attackers can inject adversarial CSS selectors into methods like Node#css, Node#at_css, and Searchable#search to cause exponential regex backtracking and denial of service.