CVE-2026-50290

ŚrednieCVSS 5.3

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 21/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

SpecifyJS to deklaratywny framework interfejsu użytkownika w TypeScript. Przed wersją 0.2.136, sanityzacja wartości CSS usuwała `expression(` i `url(javascript:` za pomocą prostego regexa, ale można było ją obejść za pomocą unicode escape w CSS (`\65xpression(`), bajtów null lub komentarzy CSS (`exp/**/ression(`). Te wektory wstrzykiwania CSS działają tylko w starszych przeglądarkach (IE6-IE10). SpecifyJS celuje w nowoczesne przeglądarki. Począwszy od wersji 0.2.136, sanityzacja CSS normalizuje unicode escape i usuwa komentarze CSS przed dopasowaniem wzorca. Sprawdza również wzorce `behavior:`, `-moz-binding` i `-o-link`.

Ocena ryzyka

Ryzyko jest ograniczone, ponieważ wektory działają tylko w starszych przeglądarkach, ale jeśli aplikacja jest używana w środowisku z takimi przeglądarkami, może wystąpić wstrzyknięcie CSS prowadzące do wykonania kodu lub defacementu. Zaleca się aktualizację.

Rekomendacja

Zaleca się aktualizację SpecifyJS do wersji 0.2.136 lub nowszej, która zawiera poprawkę sanityzacji CSS. Należy również rozważyć wsparcie tylko nowoczesnych przeglądarek.

Inne podatności w SpecifyJS

CVE-2026-50288Wysokie
SpecifyJS to deklaratywny framework interfejsu użytkownika w TypeScript. Przed wersją 0.2.136, gdy `new URL()` zgłasza błąd parsowania, funkcja `assertSecureUrl` zwracała wynik bez zgłaszania wyjątku, cicho zezwalając na żądanie bez walidacji HTTPS. Począwszy od wersji 0.2.136, blok catch zgłasza błąd zamiast cicho zwracać.

Oryginalny opis (angielski, źródło NVD)

SpecifyJS is a declarative TypeScript user interface framework. Prior to version 0.2.136, CSS value sanitization stripped `expression(` and `url(javascript:` using simple regex, but could be bypassed with CSS unicode escapes (`\65xpression(`), null bytes, or CSS comments (`exp/**/ression(`). These CSS injection vectors only work in legacy browsers (IE6-IE10). SpecifyJS targets modern browsers. Starting in version 0.2.136, CSS sanitization now normalizes unicode escapes and strips CSS comments before pattern matching. Also checks for `behavior:`, `-moz-binding`, and `-o-link` patterns.