CVE-2026-6019

ŚrednieCVSS 6.1

Opublikowano: 22/04/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 27/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Funkcja http.cookies.Morsel.js_output() zwraca fragment kodu <script> i nie neutralizuje sekwencji </script>, co umożliwia wstrzyknięcie kodu HTML. Łagodzenie polega na base64-encodowaniu wartości ciasteczka.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt, prowadząc do ataków XSS.

Rekomendacja

Należy zastosować łagodzenie poprzez base64-encodowanie wartości ciasteczka lub zaktualizować bibliotekę.

Oryginalny opis (angielski, źródło NVD)

http.cookies.Morsel.js_output() returns an inline <script> snippet and only escapes " for JavaScript string context. It does not neutralize the HTML parser-sensitive sequence </script> inside the generated script element. Mitigation base64-encodes the cookie value to disallow escaping using cookie value.