Improper Handling of Unexpected Data Type in Nokogiri

O Nokogiri, uma biblioteca Ruby popular para processar XML e HTML, não valida corretamente os tipos de dados antes de fazer a análise. Isso permite que invasores enviem dados especialmente preparados que podem derrubar a aplicação ou vazar informações sensíveis da memória.

CVE-2022-29181 explora verificação de tipos insuficiente nos analisadores SAX (XML/HTML4) do Nokogiri através de vetores de entrada não confiável, resultando em acesso à memória fora dos limites, falhas de segmentação ou vazamento de informações. A pré-condição requer processar dados fornecidos pelo usuário ou obtidos de rede através dos métodos do analisador afetados sem validação de tipo prévia. O impacto inclui negação de serviço e possível vazamento de informações da memória.