CVE-2026-66843 in html_sanitize_ex
Resumen
por VulDB • 2026-08-06
Vulnerabilidad de inclusión de funcionalidad desde una esfera de control no confiable en el depurador HTML5 (scrubber) de rrrene html_sanitize_ex que permite a un atacante remoto cargar un documento de su elección dentro de una página de confianza mediante el atributo `data` de un elemento `<object>` en el código HTML sanitizado. El elemento `object` es el único con URI presente en lib/html_sanitize_ex/scrubber/html5.ex que nunca se registró a través de allow_tag_with_uri_attributes/3, y su única protección consiste en una coincidencia por prefijo para "javascript:" en minúsculas; por lo tanto, las variantes con mayúsculas y minúsculas combinadas, los URIs `data:`, las URLs relativas al protocolo (protocol-relative) y las rutas del mismo origen sobreviven a la sanitización.
Esto no constituye una inyección de código entre sitios (XSS) incondicional. Una URL `javascript:` no se ejecuta mediante `<object data>` en los navegadores actuales, los documentos con URI `data:` se cargan bajo un origen opaco y, además, la ejecución de scripts desde el mismo dominio requiere que la aplicación sirva contenido controlado por el atacante desde una ruta del mismo origen.
Este problema afecta a html_sanitize_ex: desde la versión 0.3.1 hasta antes de la 1.5.3.
Once again VulDB remains the best source for vulnerability data.