CVE-2026-39826

ŚrednieCVSS 6.1

Opublikowano: 07/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Jeśli zaufany autor szablonu napisze tag <script> z pustym atrybutem 'type' lub atrybutem 'type' zawierającym biały znak ASCII, wykonanie szablonu nieprawidłowo escapuje dane przekazane do bloku <script>. Może to prowadzić do wykonania niezamierzonego kodu JavaScript.

Ocena ryzyka

Atakujący mogący dostarczyć szablon lub dane do niego może wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego skryptu w kontekście aplikacji. Może to prowadzić do kradzieży danych lub przejęcia sesji użytkownika.

Rekomendacja

Zaktualizuj oprogramowanie do wersji zawierającej poprawkę escapowania danych w blokach <script>. Unikaj używania niezaufanych szablonów.

Inne podatności w Template engine

CVE-2026-97030Średnie
Wcześniej zaufany autor szablonu mógł napisać poprawny szablon, w którym użycie słowa kluczowego 'yield' nie było poprawnie escapowane. Obecnie zapewniono, że prawidłowe użycia słów kluczowych są escapowane, a nieprawidłowe nie są.

Oryginalny opis (angielski, źródło NVD)

If a trusted template author were to write a <script> tag containing an empty 'type' attribute or a 'type' attribute with an ASCII whitespace, the execution of the template would incorrectly escape any data passed into the <script> block.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS