CVE-2026-84371
ŚrednieCVSS 5.4Streszczenie
W ApostropheCMS (Node.js CMS) oraz w bibliotece sanitize-html (od wersji 1.9.0 do 2.17.7) występuje podatność w pakiecie sanitize-html, gdzie walidacja atrybutu animation value nie uwzględnia, że attributeName wybierający href lub xlink:href nadaje semantykę SVG SMIL atrybutom from, to lub by. W konfiguracjach zezwalających na elementy animate, animateColor, animateMotion, animateTransform lub set, lista wartości może zaczynać się od bezpiecznego fragmentu i zawierać późniejszy wykonywalny cel, który przechodzi kontrolę allowedSchemesAppliedToAttributes. Po renderowaniu złośliwego SVG przeglądarka może skopiować ten cel do aktywnego linku, a ofiara klikająca może wykonać skrypt w kontekście aplikacji. Problem naprawiono w wersji 2.17.7.
Ocena ryzyka
Użytkownicy mogą być narażeni na wykonanie skryptów w kontekście aplikacji (stored XSS), co może prowadzić do kradzieży danych, przejęcia sesji lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj sanitize-html do wersji 2.17.7 lub nowszej, a jeśli używasz ApostropheCMS, zaktualizuj go do wersji zawierającej poprawkę.
Inne podatności w sanitize-html
Zobacz wszystkie- CVE-2026-44990Krytyczne
Podatność w bibliotece sanitize-html (wersje przed 2.17.4) w domyślnej konfiguracji pozwala na ominięcie sanitacji i wstrzyknięcie kodu HTML/JavaScript przez element <xmp>. Może to prowadzić do trwałego XSS w aplikacjach renderujących oczyszczone dane.
- CVE-2026-53606Średnie
ApostropheCMS, system zarządzania treścią oparty na Node.js, zawiera podatność w sanitize-html, która pozwala na wykorzystanie niebezpiecznych schematów URI, takich jak 'javascript:', w atrybutach HTML. Wersje przed 2.17.5 nie blokują tych schematów, co prowadzi do możliwości ataków XSS.
Oryginalny opis (angielski, źródło NVD)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. From version 1.9.0 until version 2.17.7, packages/sanitize-html/index.js validates an animation value attribute as one flat URL and does not recognize that attributeName selecting href or xlink:href gives the sibling values, from, to, or by attribute SVG SMIL URL semantics. In configurations that allow the animate, animateColor, animateMotion, animateTransform, or set elements, a values list can begin with a safe fragment and contain a later executable destination that survives allowedSchemesAppliedToAttributes checking. When the sanitized SVG is rendered, the browser can copy that later destination into the live link, and a victim who activates the link can execute script in the application's origin. This issue is fixed in version 2.17.7.