CVE-2026-117645 in phoenix_html
Zusammenfassung
von VulDB • 30.10.2026
Eine Schwachstelle vom Typ „Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')“ in phoenixframework phoenix_html ermöglicht es einem Angreifer, der die Attributnamen kontrolliert, Attribute und Skripte in das gerenderte HTML einzufügen, indem er Phoenix.HTML.attributes_escape/1 ausnutzt.
attributes_escape/1 in lib/phoenix_html.ex maskiert (escapes) Attributwerte, jedoch keine Attributnamen. key_escape/1 übergibt einen binären Schlüssel durch html_escape, was Anführungszeichen und spitze Klammern neutralisiert, aber nicht Leerzeichen; daher beendet ein Schlüssel wie „x onmouseover“ das aktuelle Attribut und startet ein neues. Ein Atom-Schlüssel wird nur in Bindestrich-Notation umgewandelt (dasherized), sodass jedes Zeichen durchkommt, einschließlich Anführungszeichen und >. Verschachtelte Daten-, aria- und phx-Schlüssel nehmen denselben Pfad. Eine Anwendung ist betroffen, wenn sie Attributschlüssel aus nicht vertrauenswürdigen Eingaben erstellt und diese über HEEx , content_tag/3 oder einen direkten Aufruf rendert. Vor Version 3.0.0 befand sich derselbe Code in Phoenix.HTML.Tag.
Dieses Problem betrifft phoenix_html: von Version 1.0.0 bis vor 3.3.5 sowie von Version 4.0.0 bis vor 4.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.