CVE-2025-22872
ŚrednieCVSS 6.5Streszczenie
Tokenizer nieprawidłowo interpretuje znaczniki z niecytowanymi wartościami atrybutów kończącymi się znakiem ukośnika (/) jako samozamykające. Przy bezpośrednim użyciu Tokenizer może to powodować błędne oznaczanie takich znaczników jako samozamykających, a przy użyciu funkcji Parse treść po takich znacznikach może trafić do niewłaściwego zakresu podczas budowy DOM, ale tylko gdy znaczniki znajdują się w obcej treści (np. kontekst <math>, <svg>).
Ocena ryzyka
Błędna interpretacja znaczników może prowadzić do nieprawidłowej budowy DOM, co potencjalnie umożliwia ataki typu cross-site scripting (XSS) lub manipulację treścią w aplikacjach przetwarzających niezaufany HTML. Dotyczy to szczególnie kontekstów osadzonych treści, takich jak MathML i SVG.
Rekomendacja
Zaktualizuj bibliotekę do wersji zawierającej poprawkę. Unikaj przetwarzania niezaufanego HTML za pomocą podatnych wersji; rozważ dodatkową sanityzację danych wejściowych.
Inne podatności w golang.org/x/net/html
Zobacz wszystkie- CVE-2025-47911Średnie
Funkcja html.Parse w pakiecie golang.org/x/net/html ma kwadratową złożoność parsowania dla specjalnie spreparowanych danych wejściowych HTML, co może prowadzić do odmowy usługi (DoS).
- CVE-2025-58190Średnie
Funkcja html.Parse w pakiecie golang.org/x/net/html wchodzi w nieskończoną pętlę podczas przetwarzania specjalnie spreparowanych danych wejściowych HTML. Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu odmowa usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
The tokenizer incorrectly interprets tags with unquoted attribute values that end with a solidus character (/) as self-closing. When directly using Tokenizer, this can result in such tags incorrectly being marked as self-closing, and when using the Parse functions, this can result in content following such tags as being placed in the wrong scope during DOM construction, but only when tags are in foreign content (e.g. <math>, <svg>, etc contexts).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS