目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-126062— Nokogiri JRuby 外部 DTD 解析 SSRF 漏洞

一分钟漏洞结论

影响对象
sparklemotion nokogiri
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Nokogiri 是一款面向 Ruby 编程语言的开源 XML 和 HTML 处理库。在 1.19.5 版本之前，在 JRuby 环境下，若应用程序使用 DTDLOAD、DTDVALID 或 NOENT 选项解析不可信的 XML 内容，当外部 DTD 或实体使用短格式 IPv4 主机地址，或使用了基于网络 URL 解析的绝对路径时，NONET 限制可能被绕过。解析器可能将这些标识符视为本地资源，从而发起网络请求，进而可能导致服务器端请求伪造（SSRF）攻击。此问题不影响 CRuby 环境及默认解析选项。该漏洞已在

CVSS 3.7 · Low
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-126062 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Nokogiri : Possible SSRF on JRuby when resolving external DTDs or entities with `NONET` set
来源: CVE Program / CVE List V5
Vulnerability Description
Nokogiri is an open source XML and HTML library for the Ruby programming language. Prior to 1.19.5, on JRuby, applications that parse untrusted XML with DTDLOAD, DTDVALID, or NOENT can have the NONET restriction bypassed when an external DTD or entity uses a short-form IPv4 host or uses absolute paths resolved against a network URL. The resolver can treat these identifiers as local and send a network request, potentially enabling server-side request forgery. CRuby and default parse options are not affected. This issue is fixed in version 1.19.5.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
XML外部实体引用的不恰当限制(XXE)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
sparklemotion nokogiri < 1.19.5 -

二、漏洞 CVE-2026-126062 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-126062 的情报信息

请登录查看更多情报信息。

CVE-2026-126062 其他参考 (5)

同批安全公告 · sparklemotion · 2026-11-10 · 共 3 条

CVE-2026-126063 2.3 LOW Nokogiri HTML5 序列化器 noscript 跨站脚本漏洞
CVE-2026-126064 2.0 LOW Nokogiri 设置属性时的释放后使用漏洞

IV. Related Vulnerabilities

Same product: nokogiri
Same vendor: sparklemotion
Same weakness: CWE-611