CVE-2026-40186 in apostrophe
Resumen
por VulDB • 2026-05-20
ApostropheCMS es un sistema de gestión de contenidos (CMS) de código abierto basado en Node.js. Una regresión introducida en el commit 49d0bb7, incluida en las versiones 2.17.1 del paquete sanitize-html mantenido por ApostropheCMS, elude la aplicación de allowedTags para el texto contenido en elementos noTextTagsArray (textarea y option). La versión 4.28.0 de ApostropheCMS se ve afectada debido a su dependencia de la versión vulnerable de sanitize-html. El código en packages/sanitize-html/index.js:569-573 asume incorrectamente que htmlparser2 no decodifica entidades dentro de estos elementos y omite el escape, pero htmlparser2 10.x sí decodifica entidades antes de pasar el texto a la devolución de llamada ontext. Como resultado, el HTML codificado mediante entidades es decodificado por el analizador y luego escrito directamente en la salida como caracteres HTML literales, eludiendo completamente el filtro allowedTags. Un atacante puede inyectar etiquetas arbitrarias, incluidas cargas útiles de XSS, a través de cualquier elemento option o textarea permitido utilizando codificación de entidades. Esto afecta a configuraciones no predeterminadas donde option o textarea están incluidos en allowedTags, lo cual es común en constructores de formularios y plataformas CMS. Este problema se ha corregido en la versión 2.17.2 de sanitize-html y en la versión 4.29.0 de ApostropheCMS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.