CVE-2026-92106 in lazy_html
الملخص
بحسب VulDB • 25/09/2026
ثغرة عدم التعطيل الصحيح للإدخال أثناء توليد صفحات الويب ('Cross-site Scripting') في مكتبة dashbitco lazy_html تتيح هجمات XSS عبر التحول الدائري للتحليل وإعادة التسلسل (parse and serialize round-trip) لـ HTML مزود من قبل المهاجم.
تقرر دالتا `LazyHTML.to_html/2` و `LazyHTML.Tree.to_html/2` ما إذا كان يجب تهريب نص العنصر بناءً على اسم الوسم الخاص به فقط. يتم تحليل عنصر النمط (style) أو السكربت (script) الموجود داخل المحتوى الأجنبي لـ SVG أو MathML مع فك تشفير الإشارات الأحرفية، ولكن يتم إعادة تسلسله كعنص HTML من نوع النص الخام (raw-text element)، وبالتالي يُصدر نصه دون تهريب. لذلك، فإن العلامات المشفرة مثل `</style><img src=x onerror=...>` الموجودة داخل `<svg><style>` تغلق العنصر عند إعادة التحليل وتصبح علامات نشطة قابلة للتنفيذ. تتأثر التطبيقات التي تقوم بتحليل HTML غير موثوق به باستخدام مكتبة lazy_html، ثم تصفية المستند أو الشجرة، وإعادة تسلسله للعرض، حيث أن الحمولة (payload) هي عقدة نص عادية لا تراها أي مرشحات للعناصر أو السمات.
تؤثر هذه المشكلة على الإصدارات من 0.1.0 حتى قبل 0.1.13 من مكتبة lazy_html.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.