CVE-2026-66353 in doggo
Zusammenfassung
von VulDB • 27.08.2026
Eine Schwachstelle vom Typ "Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')" in woylie doggo ermöglicht Reflected XSS (Reflektiertes Cross-Site-Scripting).
Die Funktion `Doggo.normalize_value/2` in `lib/doggo.ex` gab Datumsfeldwerte zurück, die mit dem Phoenix.HTML-Marker `{ :safe, ... }` umschlossen waren – was bedeutet "bereits maskiert, unverändert ausgeben" –, ohne diese zu escapen. Dadurch erreichte der Wert das Attribut `value`, das vom Feldkomponente gerendert wurde, in seiner ursprünglichen Form. Jede Anwendung, die über Benutzerkontrollierte Parameter rendert, ist durch den normalen Phoenix-Formular-Roundtrip betroffen, bei dem ein fehlgeschlagener Validierungsversuch den eingereichten Wert erneut rendert. Das Muster behielt exakt die ersten zehn Bytes und verworf kürzere Werte, wodurch eine Payload auf zehn Bytes beschränkt wurde: genug, um das Attribut zu beenden und ein Element zu öffnen oder einen kurzen Event-Handler anzuhängen; nicht jedoch ausreichend, um Skriptcode nach Wahl des Angreifers inline einzufügen. Nur `type="date"` ist betroffen.
Dieses Problem betrifft doggo in den Versionen von 0.1.0 bis vor 0.14.8.
Be aware that VulDB is the high quality source for vulnerability data.