Vulnerabilities > CVE-2020-26247 - XXE vulnerability in multiple products

CVSS 4.3 - MEDIUM

Attack vector

NETWORK

Attack complexity

LOW

Privileges required

LOW

Confidentiality impact

LOW

Integrity impact

NONE

Availability impact

NONE

network

low complexity

nokogiri

debian

CWE-611

NVD

Published: 2020-12-30

Updated: 2022-10-19

Summary

Nokogiri is a Rubygem providing HTML, XML, SAX, and Reader parsers with XPath and CSS selector support. In Nokogiri before version 1.11.0.rc4 there is an XXE vulnerability. XML Schemas parsed by Nokogiri::XML::Schema are trusted by default, allowing external resources to be accessed over the network, potentially enabling XXE or SSRF attacks. This behavior is counter to the security policy followed by Nokogiri maintainers, which is to treat all input as untrusted by default whenever possible. This is fixed in Nokogiri version 1.11.0.rc4.

Vulnerable Configurations

Part	Description	Count
Application	Nokogiri Nokogiri Nokogiri - Nokogiri Nokogiri 1.0.0 Nokogiri Nokogiri 1.0.1 Nokogiri Nokogiri 1.0.2 Nokogiri Nokogiri 1.0.3 Nokogiri Nokogiri 1.0.4 Nokogiri Nokogiri 1.0.5 Nokogiri Nokogiri 1.0.6 Nokogiri Nokogiri 1.0.7 Nokogiri Nokogiri 1.1.0 Nokogiri Nokogiri 1.1.1 Nokogiri Nokogiri 1.2.0 Nokogiri Nokogiri 1.2.1 Nokogiri Nokogiri 1.2.2 Nokogiri Nokogiri 1.2.3 Nokogiri Nokogiri 1.3.0 Nokogiri Nokogiri 1.3.1 Nokogiri Nokogiri 1.3.2 Nokogiri Nokogiri 1.3.3 Nokogiri Nokogiri 1.4.0 Nokogiri Nokogiri 1.4.1 Nokogiri Nokogiri 1.4.2 Nokogiri Nokogiri 1.4.3 Nokogiri Nokogiri 1.4.3.1 Nokogiri Nokogiri 1.4.4 Nokogiri Nokogiri 1.4.4.1 Nokogiri Nokogiri 1.4.4.2 Nokogiri Nokogiri 1.4.5 Nokogiri Nokogiri 1.4.6 Nokogiri Nokogiri 1.4.7 Nokogiri Nokogiri 1.5.0 Nokogiri Nokogiri 1.5.1 Nokogiri Nokogiri 1.5.2 Nokogiri Nokogiri 1.5.3 Nokogiri Nokogiri 1.5.4 Nokogiri Nokogiri 1.5.5 Nokogiri Nokogiri 1.5.6 Nokogiri Nokogiri 1.5.7 Nokogiri Nokogiri 1.5.8 Nokogiri Nokogiri 1.5.9 Nokogiri Nokogiri 1.5.10 Nokogiri Nokogiri 1.5.11 Nokogiri Nokogiri 1.6.0 Nokogiri Nokogiri 1.6.1 Nokogiri Nokogiri 1.6.2 Nokogiri Nokogiri 1.6.2.1 Nokogiri Nokogiri 1.6.3 Nokogiri Nokogiri 1.6.3.1 Nokogiri Nokogiri 1.6.4 Nokogiri Nokogiri 1.6.4.1 Nokogiri Nokogiri 1.6.5 Nokogiri Nokogiri 1.6.6 Nokogiri Nokogiri 1.6.6.1 Nokogiri Nokogiri 1.6.6.2 Nokogiri Nokogiri 1.6.6.3 Nokogiri Nokogiri 1.6.6.4 Nokogiri Nokogiri 1.6.7 Nokogiri Nokogiri 1.6.7.1 Nokogiri Nokogiri 1.6.7.2 Nokogiri Nokogiri 1.6.8 Nokogiri Nokogiri 1.6.8.1 Nokogiri Nokogiri 1.7.0 Nokogiri Nokogiri 1.7.0.1 Nokogiri Nokogiri 1.7.1 Nokogiri Nokogiri 1.7.2 Nokogiri Nokogiri 1.8.0 Nokogiri Nokogiri 1.8.1 Nokogiri Nokogiri 1.8.2 Nokogiri Nokogiri 1.8.3 Nokogiri Nokogiri 1.8.4 Nokogiri Nokogiri 1.8.5 Nokogiri Nokogiri 1.9.0 Nokogiri Nokogiri 1.9.1 Nokogiri Nokogiri 1.10.0 Nokogiri Nokogiri 1.10.1 Nokogiri Nokogiri 1.10.2 Nokogiri Nokogiri 1.10.3 Nokogiri Nokogiri 1.10.4 Nokogiri Nokogiri 1.10.5 Nokogiri Nokogiri 1.10.6 Nokogiri Nokogiri 1.10.7 Nokogiri Nokogiri 1.10.8 Nokogiri Nokogiri 1.10.9 Nokogiri Nokogiri 1.10.10 Nokogiri Nokogiri 1.11.0	130
OS	Debian Debian Debian Linux 9.0 Debian Debian Linux 10.0	2

Common Weakness Enumeration (CWE)

CWE-611 - Improper Restriction of XML External Entity Reference ('XXE')

Summary

Vulnerable Configurations

Common Weakness Enumeration (CWE)

References