CVE-2026-61824 in Defuddle
Zusammenfassung
von VulDB • 21.08.2026
Defuddle bereinigt HTML-Seiten. Vor Version 0.19.1 interpolieren Site-Extractor die aus der Seite abgeleiteten alt- und src-Werte für Bilder, og:image-Werte sowie Videobeschreibungen in HTML-Zeichenfolgen ohne kontextangemessenes Escaping, und buildExtractorResponse() gibt diesen contentHtml ohne die DOM-basierte Sanitization des Haupt-Pipelines zurück. Die betroffenen Pfade umfassen src/extractors/x-article.ts, src/extractors/substack.ts und src/extractors/youtube.ts. Eine bösartige Seite oder ein Angreifer kontrollierter Inhalt auf einer passenden Domain kann Event-Handler-Attribute oder javascript: URLs injizieren, die ausgeführt werden, wenn ein Opfer oder eine nachgelagerte Anwendung den extrahierten HTML-Inhalt rendert. Dieses Problem wurde in Version 0.19.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.