CVE-2026-61846

Tokenizator biblioteki Crass nie kończył błędnego tokenu URL na znaku ) występującym po escapowanym backslashu (\\). W rezultacie Crass pobierał więcej danych wejściowych jako część błędnego URL niż zgodna ze specyfikacją przeglądarka. Sanitizery CSS, które parsują niezaufany CSS za pomocą Crass i ponownie go emitują, mogą zostać oszukane.

Podatność w bibliotece Crass powoduje nieograniczone przetwarzanie notacji naukowej w wartościach CSS przed ograniczeniem wyniku do Float::MAX. Atakujący może przesłać mały, spreparowany ciąg CSS, który wymusi nadmierne zużycie CPU i pamięci.

Podatność w bibliotece Crass powoduje nadmierne zużycie CPU podczas parsowania danych zawierających znaki spoza ASCII. Nieefektywne śledzenie pozycji znaków wielobajtowych prowadzi do superlinearnego czasu parsowania.

Podatność w bibliotece Crass umożliwia atak DoS poprzez dostarczenie arkusza stylów z bardzo dużą liczbą sąsiadujących komentarzy CSS, gdy opcja :preserve_comments jest wyłączona (domyślne zachowanie). Powoduje to nadmierną rekurencję i potencjalne wyczerpanie zasobów systemowych.

Podatność w bibliotece Crass umożliwia atakującemu wywołanie przepełnienia stosu lub nadmiernego zużycia pamięci poprzez rekurencyjne parsowanie głęboko zagnieżdżonych bloków CSS.

Crass (parser CSS w Ruby) w wersjach przed 1.0.7 nieefektywnie śledzi pozycje znaków wielobajtowych podczas analizy danych wejściowych zawierających znaki nie-ASCII. Powoduje to ponadliniowy czas analizy, a atakujący może dostarczyć CSS z wieloma znakami nie-ASCII, wywołując nadmierne zużycie CPU i potencjalną odmowę usługi.

Biblioteka Crass (parser CSS w Ruby) w wersjach przed 1.0.7, gdy opcja :preserve_comments jest wyłączona (domyślnie), odrzuca komentarze CSS poprzez rekurencyjne pobieranie kolejnego tokenu. Arkusz stylów z bardzo dużą liczbą sąsiadujących komentarzy może wywołać nadmierną rekurencję i błąd SystemStackError, powodując odmowę usługi w aplikacji parsującej.

W Crass (parser CSS w Ruby zgodny ze specyfikacją CSS Syntax Level 3) przed wersją 1.0.7 wartości liczbowe w notacji naukowej są przeliczane z nieograniczoną potęgą przed ograniczeniem wyniku do Float::MAX. Aplikacje parsujące niezaufany CSS mogą zostać zmuszone do nadmiernego zużycia CPU i pamięci przy przetwarzaniu bardzo małego wejścia, co może doprowadzić do awarii.

W parserze CSS Crass (Ruby) przed wersją 1.0.8 niepoprawnie traktuje nawias zamykający po escapowanym backslashu jako escapowany podczas przetwarzania resztek błędnego URL. Crass zachowuje deklaracje, reguły stylów lub at-rules wewnątrz błędnego tokenu URL, mimo że przeglądarka traktuje je jako aktywny CSS.