CVE-2022-29546

WysokieCVSS 7.5

Opublikowano: 25/04/2022(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.23%

Percentyl 69 - wyżej niż 69% wszystkich znanych CVE

Streszczenie

Parser NekoHtml w bibliotece HtmlUnit w wersjach przed 2.61.0 jest podatny na atak typu denial of service. Spreparowane dane wejściowe związane z przetwarzaniem danych Processing Instruction (PI) prowadzą do nadmiernego zużycia pamięci sterty; podatność jest podobna do CVE-2022-28366, ale dotyczy znacznie późniejszej wersji produktu.

Ocena ryzyka

Atakujący może doprowadzić do wyczerpania pamięci i niedostępności aplikacji przetwarzającej niezaufany HTML, co stanowi ryzyko dla usług publicznych.

Rekomendacja

Zaktualizuj HtmlUnit do wersji 2.61.0 lub nowszej oraz rozważ ograniczenie rozmiaru i złożoności przetwarzanego HTML.

Inne podatności w HtmlUnit

CVE-2023-26119Krytyczne
Podatność w pakiecie net.sourceforge.htmlunit:htmlunit przed wersją 3.0.0 umożliwia zdalne wykonanie kodu (RCE) poprzez XSTL podczas przeglądania strony atakującego.

Oryginalny opis (angielski, źródło NVD)

HtmlUnit NekoHtml Parser before 2.61.0 suffers from a denial of service vulnerability. Crafted input associated with the parsing of Processing Instruction (PI) data leads to heap memory consumption. This is similar to CVE-2022-28366 but affects a much later version of the product.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS