CVE-2026-25680
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podczas parsowania dowolnego kodu HTML może dojść do nadmiernego zużycia czasu procesora, co prowadzi do odmowy usługi (DoS).
Ocena ryzyka
Organizacja narażona jest na ataki DoS poprzez dostarczenie złośliwego kodu HTML, co może spowolnić lub zablokować działanie aplikacji.
Rekomendacja
Należy zaimplementować limity czasu i zasobów dla parsera HTML oraz rozważyć użycie bezpieczniejszej biblioteki.
Inne podatności w HTML parser
Zobacz wszystkie- CVE-2026-97045Niskie ryzyko· EPSS 10%
W funkcji childTextNodesAreLiteral przechodzenie w górę drzewa zatrzymywało się na najbliższym obcym przodku po znalezieniu punktu integracji HTML. Ponieważ ten punkt integracji może sam być potomkiem elementu przeniesionego (foster-parented) do obcej przestrzeni nazw, parser przy ponownym parsowaniu wyrenderowanego wyniku może rozwiązać poddrzewo w innej przestrzeni nazw. Poprawka polega na przejściu całego łańcucha przodków i weryfikacji każdego przejścia z niepustej przestrzeni nazw w punkcie integracji HTML.
- CVE-2026-78661Niskie ryzyko· EPSS 8%
Podczas łączenia sąsiednich węzłów tekstowych w addText i fosterParent dopisywanie do istniejącego TextNode przez konkatenację łańcuchów (n.Data += text) powodowało realokację i kopiowanie narastającego łańcucha przy każdym tokenie. Dane wejściowe z wieloma krótkimi fragmentami tekstu rozdzielonymi ignorowanymi tagami końcowymi powodowały alokacje i kopie o złożoności O(n^2). Poprawka gromadzi tekst w wycinkach bajtowych na węzeł i materializuje łańcuchy Data raz na końcu parsowania.
Oryginalny opis (angielski, źródło NVD)
Parsing arbitrary HTML can consume excessive CPU time, possibly leading to denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS