CVE-2026-44312
css_parser allows to MITM included https css urls
CVSS 3.1Medium
5.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.1.0, 1.22.0
Обновите css_parser до версий 2.1.0 или 1.22.0.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Гем css_parser отключает проверку SSL-сертификатов при загрузке внешних стилей по HTTPS.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях до 2.1.0 и 1.22.0 HTTP-клиент парсера инициализирует TLS-соединение с флагом OpenSSL::SSL::VERIFY_NONE, принимая любые недоверенные сертификаты.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Атака типа MITM: перехват и модификация CSS-файлов при их загрузке приложением через HTTPS.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
premailercss_parser
>= 2.0.0➔Fix: 2.1.0
premailercss_parser
все ранние➔Fix: 1.22.0
——
>= 2.0.0➔Fix: 2.1.0
——
>= 0➔Fix: 1.22.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/premailer/css_parser/security/advisories/GHSA-ff6c-w6qf-7xqc
- github.comhttps://github.com/premailer/css_parser/issues/185
- github.comhttps://github.com/premailer/css_parser/commit/35e689c904225add78e0c488cf04bad052666449
- github.comhttps://github.com/premailer/css_parser/commit/e0c95d5abe91b237becb90ff316531a6547ada18
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-44312: css_parser allows to MITM included https css urls. URL: https://cve.futuretools.ru/cve/CVE-2026-44312
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_44312,
title = {{CVE-2026-44312: css_parser allows to MITM included https css urls}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-44312}},
note = {Оперативный инженерный анализ киберугроз}
}