CVE-2026-47344
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W typo3/html-sanitizer przed wersją 2.3.2, gdy włączona jest opcja ALLOW_INSECURE_RAW_TEXT, znaczniki zamykające z białymi znakami (np. </style\t>) nie są rozpoznawane przez sanitizer, ale są akceptowane przez przeglądarki jako prawidłowe znaczniki zamykające. Umożliwia to ominięcie mechanizmu zapobiegającego XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowań lub innych ataków XSS.
Rekomendacja
Zaleca się aktualizację typo3/html-sanitizer do wersji 2.3.2 lub nowszej oraz wyłączenie opcji ALLOW_INSECURE_RAW_TEXT, jeśli nie jest wymagana.
Inne podatności w typo3/html-sanitizer
Zobacz wszystkie- CVE-2026-47345Średnie
Atrybuty przestrzeni nazw nie są poprawnie kodowane podczas serializacji HTML w typo3/html-sanitizer przed wersją 2.3.2. Umożliwia to ominięcie mechanizmu zapobiegania XSS.
- CVE-2023-38500Średnie
TYPO3 HTML Sanitizer, narzędzie do sanitizacji HTML, ma problem z kodowaniem w warstwie serializacji, co pozwala na niepoprawne kodowanie złośliwego kodu osadzonego w elemencie `noscript`. Chociaż `noscript` jest domyślnie wyłączony, może być włączony w niestandardowych konfiguracjach, co umożliwia obejście mechanizmu ochrony przed XSS.
Oryginalny opis (angielski, źródło NVD)
When ALLOW_INSECURE_RAW_TEXT is enabled, whitespace-variant closing tags (e.g., </style\t>) are not recognized by the sanitizer but accepted by browsers as valid end tags, allowing subsequent content to escape sanitization. This allows bypassing the cross-site scripting prevention mechanism of typo3/html-sanitizer before version 2.3.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS