CVE-2026-41305
ŚrednieStreszczenie
PostCSS przed wersją 8.5.10 nie ucieka sekwencjom `</style>` podczas przetwarzania reguł CSS w Abstract Syntax Tree. Może to prowadzić do wstrzyknięcia niebezpiecznego kodu HTML w przypadku przetwarzania CSS dostarczonego przez użytkowników.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników. Wstrzyknięcie złośliwego kodu może również wpłynąć na integralność aplikacji webowych.
Rekomendacja
Zaleca się aktualizację PostCSS do wersji 8.5.10 lub nowszej, aby zabezpieczyć się przed tą podatnością. Dodatkowo, warto wdrożyć mechanizmy walidacji i sanitizacji CSS dostarczanego przez użytkowników.
Oryginalny opis (angielski, źródło NVD)
PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Versions prior to 8.5.10 do not escape `</style>` sequences when stringifying CSS ASTs. When user-submitted CSS is parsed and re-stringified for embedding in HTML `<st