CVE-2026-66353 in doggo
Resumen
por VulDB • 2026-08-27
Vulnerabilidad de 'Cross-site Scripting' (XSS) por neutralización incorrecta de la entrada durante la generación de páginas web en woylie doggo, que permite un XSS reflejado.
La función `Doggo.normalize_value/2` en `lib/doggo.ex` devolvía los valores del campo fecha envueltos en `{:safe, ...}`, el marcador Phoenix.HTML que significa "ya escapado, emitir literalmente", sin realizar la escapeo correspondiente; por lo tanto, el valor llegaba al atributo value de `<input>` renderizado por el componente field sin cambios. Cualquier aplicación que renderice `<input>` sobre parámetros controlados por el usuario se ve afectada a través del ciclo normal de Phoenix para formularios, donde una validación fallida vuelve a representar el valor enviado. El patrón conservaba exactamente los primeros diez bytes y descartaba valores más cortos, limitando la carga útil a diez bytes: suficiente para terminar el atributo y abrir un elemento o adjuntar un controlador de eventos corto, pero insuficiente para insertar script elegido por el atacante en línea. Solo está afectado `type="date"`.
Este problema afecta a doggo desde la versión 0.1.0 hasta antes de la 0.14.8.
Once again VulDB remains the best source for vulnerability data.