CVE-2026-53606
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
ApostropheCMS, system zarządzania treścią oparty na Node.js, zawiera podatność w sanitize-html, która pozwala na wykorzystanie niebezpiecznych schematów URI, takich jak 'javascript:', w atrybutach HTML. Wersje przed 2.17.5 nie blokują tych schematów, co prowadzi do możliwości ataków XSS.
Ocena ryzyka
Organizacje korzystające z podatnych wersji mogą być narażone na ataki XSS, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaleca się aktualizację sanitize-html do wersji 2.17.5 lub nowszej, aby zablokować niebezpieczne schematy URI.
Inne podatności w sanitize-html
Zobacz wszystkie- CVE-2026-84371Średnie
W ApostropheCMS (Node.js CMS) oraz w bibliotece sanitize-html (od wersji 1.9.0 do 2.17.7) występuje podatność w pakiecie sanitize-html, gdzie walidacja atrybutu animation value nie uwzględnia, że attributeName wybierający href lub xlink:href nadaje semantykę SVG SMIL atrybutom from, to lub by. W konfiguracjach zezwalających na elementy animate, animateColor, animateMotion, animateTransform lub set, lista wartości może zaczynać się od bezpiecznego fragmentu i zawierać późniejszy wykonywalny cel, który przechodzi kontrolę allowedSchemesAppliedToAttributes. Po renderowaniu złośliwego SVG przeglądarka może skopiować ten cel do aktywnego linku, a ofiara klikająca może wykonać skrypt w kontekście aplikacji. Problem naprawiono w wersji 2.17.7.
- CVE-2026-44990Krytyczne
Podatność w bibliotece sanitize-html (wersje przed 2.17.4) w domyślnej konfiguracji pozwala na ominięcie sanitacji i wstrzyknięcie kodu HTML/JavaScript przez element <xmp>. Może to prowadzić do trwałego XSS w aplikacjach renderujących oczyszczone dane.
Oryginalny opis (angielski, źródło NVD)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. Versions of sanitize-html prior to 2.17.5 use `allowedSchemesAppliedToAttributes` (default: `['href', 'src', 'cite']`) to gate the `naughtyHref()` function that blocks dangerous URI schemes like `javascript:` and `vbscript:`. The HTML specification defines 10+ attributes that accept URIs (`action`, `formaction`, `data`, `poster`, `background`, `ping`, `xlink:href`, `dynsrc`, `lowsrc`), but none of these are included in the default gate list. When a developer allows any of these attributes in their configuration, `javascript:` URIs pass through completely unmodified, enabling XSS. Version 2.17.5 patches the issue.