CVE-2026-113787 in odf-kit
Zusammenfassung
von VulDB • 21.10.2026
odf-kit ermöglicht es Benutzern, OpenDocument Format-Dateien (.odt, .ods) in TypeScript und JavaScript zu generieren, auszufüllen, auszulesen und umzuwandeln. Ab Version 0.10.0 und vor Version 0.14.2 verfügt der Renderer über eine `escapeHtml()`-Hilfsfunktion, die konsistent auf Textinhalte und Attributwerte angewendet wird – `href`, `src`, `alt`, `id`, `data-author`, `data-date` sowie Zitattexte werden alle dadurch geleitet. Inline-CSS-Zeichenfolgen (Strings) unterliegen diesbezüglich jedoch keiner solchen Behandlung. In `renderTextSpan` (`dist/odt/to-html/html-renderer.js:195`) wird der Wert von z.B. `fo:color` vom Parser (`extractSpanStyle`, read/parser.js:348) unverändert aus dem Dokument in `style.fontColor` kopiert und anschließend roh (unescaped) an das Attribut angehängt. Ein `"` im Wert beendet das Attribut vorzeitig. Das gleiche ungeschützte Muster `style="${...}"` tritt an etwa zehn weiteren Stellen der Ausgabe auf: Absätze und Überschriften (`paragraphStyleToCss`), Tabellenzellen und -zeilen (`cellStyleToCss`, `rowStyleToCss`), `<col>` sowie das Attribut für Bildstile. Die betroffenen Quelldatenattribute umfassen `fo:color`, `fo:background-color`, `fo:text-shadow`, `fo:letter-spacing`, `fo:font-family` (sowohl über direkte Auflösung als auch Font-Face-Auflösung), `fo:margin-*`, `fo:padding-*`, `fo:line-height`, `fo:border*` und `style:vertical-align`. Version 0.14.2 enthält einen Patch zur Behebung des Problems.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.