CVE-2026-100370

ŚrednieCVSS 4.7

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

DOMSanitizer to narzędzie do sanityzacji DOM/SVG/MathML dla PHP 7.3+. Przed wersją 1.0.15 metoda isDangerousUrl() odpowiada za odrzucanie niebezpiecznych wartości URL w atrybutach href i xlink:href. Słabość polega na tym, że "javascript:" jest odrzucane jako schemat, podczas gdy "data:" jest odrzucane tylko wtedy, gdy w wartości URL pojawi się dosłowny podciąg onload (/^data:.*onload/i). Ponieważ ładunki data: są rutynowo kodowane Base64, niebezpieczna treść (skrypty, procedury obsługi zdarzeń itp.) jest niewidoczna dla tego testu. URL taki jak data:text/html;base64,… przetrwa w href / xlink:href, mimo że zdekodowany ładunek jest aktywnym znacznikiem. Jest to niekompletna walidacja wejścia / defekt sanityzacji w samym narzędziu. Problem naprawiono w wersji 1.0.15.

Ocena ryzyka

Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu (XSS) przez atrybuty href lub xlink:href, co może prowadzić do przejęcia sesji użytkownika lub kradzieży danych.

Rekomendacja

Zaleca się aktualizację DOMSanitizer do wersji 1.0.15 lub nowszej, która zawiera poprawkę.

Inne podatności w DOMSanitizer

CVE-2026-40301Średnie
DOMSanitizer (biblioteka PHP 7.3+) przed wersją 1.0.10 pozwala na obecność elementów <style> w treści SVG, ale nie sprawdza ich zawartości tekstowej. Odwołania CSS url() i reguły @import przechodzą bez filtrowania, powodując, że przeglądarka wysyła żądania HTTP do hostów kontrolowanych przez atakującego podczas renderowania oczyszczonego SVG.

Oryginalny opis (angielski, źródło NVD)

DOMSanitizer is a DOM/SVG/MathML Sanitizer for PHP 7.3+. Prior to version 1.0.15, the isDangerousUrl() method is responsible for rejecting dangerous URL values in the href and xlink:href attributes. The weakness is that "javascript:" is rejected as a scheme, while "data:" is rejected only when the literal substring onload appears in the URL value (/^data:.*onload/i). Because data: payloads are routinely Base64-encoded, the dangerous content (<script>, event handlers, etc.) is invisible to that substring test. A URL such as data:text/html;base64,… therefore survives in href / xlink:href, even though the decoded payload is active markup. This is an incomplete input-validation / sanitization defect in the sanitizer itself. This issue has been patched in version 1.0.15.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS