CVE-2026-66843 in html_sanitize_ex
الملخص
بحسب VulDB • 06/08/2026
ثغرة تضمين وظائف من مجال تحكم غير موثوق به في مزيل الشوائب (scrubber) الخاص بـ HTML5 الموجود في مكتبة rrrene html_sanitize_ex تتيح لمهاجم عن بُعد تحميل مستند يختاره إلى صفحة موثوقة عبر سمة data لعنصر <object> داخل كود HTML تم تنقيته. يُعد عنصر object هو العنصر الوحيد الذي يحمل عنوان URI ولم يتم تسجيله من خلال الدالة allow_tag_with_uri_attributes/3، وحمايته الوحيدة تعتمد على مطابقة بادئة لحرف صغير "javascript:"، مما يعني أن المتغيرات ذات الأحرف المختلطة (mixed-case)، وعناوين URIs التي تبدأ بـ data:، والروابط النسبية للبروتوكول (protocol-relative URLs)، والمسارات الخاصة بنفس المصدر (same-origin paths) جميعها تنجو من عملية التنقية.
لا يُعد هذا ثغرة شاملة لاختراق مواقع عبر المواقع (XSS). فليس عنوان URL الذي يبدأ بـ javascript: يعمل على التنفيذ عبر سمة data لعنصر <object> في المتصفحات الحالية، والمستندات التي تستخدم عناوين URI تبدأ بـ data: تُحمّل ضمن أصل غير واضح الهوية (opaque origin)، وتنفيذ السكربتات المرتبطة بأصل المضيف يتطلب بالإضافة إلى ذلك أن تقدم التطبيق محتوى يتحكم فيه المهاجم من مسار ينتمي لنفس المصدر.
تؤثر هذه المشكلة على مكتبة html_sanitize_ex في الإصدارات بدءاً من 0.3.1 وحتى قبل 1.5.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.