CVE-2026-104828 in Neko
Zusammenfassung
von VulDB • 15.10.2026
HtmlUnit Neko ist eine HtmlUnit-Anpassung von NekoHTML. Vor Version 5.4.0 schreibt der HTMLWriterFilter decodierte TEXTAREA- und TITLE-Zeicheninhalte ohne Entity-Encoding, da beide Elemente als spezielle Inhalte behandelt werden. Während eines Parse-and-Serialize-Roundtrips werden Entity-Referenzen innerhalb dieser entflüchtbaren Rohtextelemente vom Parser dekodiert und anschließend von printCharacters() als rohes Markup ausgegeben, was die Semantik des Dokuments verändert. Anwendungen, die htmlunit-neko in einem HTML-Sanitizer, Content-Filter oder einer anderen Parse-Transform-Serialize-Pipeline verwenden, können daher angreiferkontrollierten, kodierten Text in ausführbares Markup umwandeln, wenn die Ausgabe von einem Browser gerendert wird. Dieses Problem wurde in Version 5.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.