CVE-2026-40186 in apostrophe
Zusammenfassung
von VulDB • 15.05.2026
ApostropheCMS ist ein Open-Source-Content-Management-System, das auf Node.js basiert. Eine Regression, die in Commit 49d0bb7 eingeführt wurde und in Version 2.17.1 des von ApostropheCMS gepflegten Pakets `sanitize-html` enthalten ist, umgeht die Durchsetzung von `allowedTags` für Text innerhalb von Elementen in `nonTextTagsArray` (textarea und option). ApostropheCMS in Version 4.28.0 ist betroffen, da es von der anfälligen Version von `sanitize-html` abhängt. Der Code in `packages/sanitize-html/index.js:569-573` geht fälschlicherweise davon aus, dass `htmlparser2` keine Entitäten innerhalb dieser Elemente decodiert und überspringt daher die Escaping-Funktion. Allerdings decodiert `htmlparser2` in Version 10.x Entitäten, bevor der Text an den `ontext`-Callback übergeben wird. Infolgedessen wird durch den Parser entitätskodiertes HTML decodiert und anschließend als wörtliche HTML-Zeichen direkt in die Ausgabe geschrieben, wodurch der `allowedTags`-Filter vollständig umgangen wird. Ein Angreifer kann beliebige Tags, einschließlich XSS-Payloads, durch jedes erlaubte option- oder textarea-Element unter Verwendung von Entity-Encoding injizieren. Dies betrifft Nicht-Standardkonfigurationen, bei denen option oder textarea in `allowedTags` enthalten sind, was bei Formularbaukästen und CMS-Plattformen üblich ist. Dieses Problem wurde in Version 2.17.2 von `sanitize-html` und Version 4.29.0 von ApostropheCMS behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.