GHSA-wgw9-qhqg-8hv5

Nieznane

Opublikowano: —Przetłumaczono: 28/10/2026(UTC)NVD NIST

Streszczenie

Podatność w bibliotece Sanitize pozwala obejść mechanizmy sanityzacji CSS, gdy dozwolone są elementy <style> lub gdy używane są metody Sanitize::CSS#stylesheet, Sanitize::CSS#tree! lub osadzane są właściwości z Sanitize::CSS#properties. Atakujący może wstrzyknąć złośliwy kod CSS, co może prowadzić do wykonania niebezpiecznych działań w przeglądarce użytkownika.

Ocena ryzyka

Organizacja może być narażona na ataki XSS lub inne skutki wstrzyknięcia złośliwego CSS, jeśli aplikacja używa Sanitize do filtrowania treści HTML z osadzonymi stylami. Może to prowadzić do kradzieży danych sesji lub modyfikacji wyglądu strony w celu oszustwa.

Rekomendacja

Zaktualizuj bibliotekę Sanitize do najnowszej wersji zawierającej poprawkę. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie obsługi elementów <style> lub ograniczenie użycia metod Sanitize::CSS do zaufanych źródeł.

Inne podatności w Sanitize

CVE-2023-36823Wysokie
Sanitize to narzędzie do sanitizacji HTML i CSS, które w wersjach od 3.0.0 do 6.0.2 może być podatne na wstrzyknięcie złośliwego kodu HTML i CSS. Atakujący może wykorzystać starannie przygotowane dane wejściowe, aby wprowadzić nieautoryzowany kod, co prowadzi do potencjalnych ataków typu cross-site scripting.

Oryginalny opis (angielski, źródło NVD)

## SUMMARY When Sanitize is configured to allow <style> elements, when Sanitize::CSS#stylesheet or Sanitize::CSS#tree! is used to sanitize a stylesheet directly, or when the output of Sanitize::CSS#properties is embedded inside a style rule in a stylesheet, an attacker can bypass Sanitize's CSS pro

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS