CVE-2026-47345
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Atrybuty przestrzeni nazw nie są poprawnie kodowane podczas serializacji HTML w typo3/html-sanitizer przed wersją 2.3.2. Umożliwia to ominięcie mechanizmu zapobiegania XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod HTML/JavaScript, który zostanie wykonany w przeglądarce ofiary, prowadząc do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj typo3/html-sanitizer do wersji 2.3.2 lub nowszej.
Inne podatności w typo3/html-sanitizer
Zobacz wszystkie- CVE-2026-47344Niskie
W typo3/html-sanitizer przed wersją 2.3.2, gdy włączona jest opcja ALLOW_INSECURE_RAW_TEXT, znaczniki zamykające z białymi znakami (np. </style\t>) nie są rozpoznawane przez sanitizer, ale są akceptowane przez przeglądarki jako prawidłowe znaczniki zamykające. Umożliwia to ominięcie mechanizmu zapobiegającego XSS.
- CVE-2023-38500Średnie
TYPO3 HTML Sanitizer, narzędzie do sanitizacji HTML, ma problem z kodowaniem w warstwie serializacji, co pozwala na niepoprawne kodowanie złośliwego kodu osadzonego w elemencie `noscript`. Chociaż `noscript` jest domyślnie wyłączony, może być włączony w niestandardowych konfiguracjach, co umożliwia obejście mechanizmu ochrony przed XSS.
Oryginalny opis (angielski, źródło NVD)
Namespace attributes are not encoded correctly during HTML serialization. This allows bypassing the cross-site scripting prevention mechanism of typo3/html-sanitizer before version 2.3.2.