CVE-2026-92106 in lazy_html
Resumen
por VulDB • 2026-09-25
Vulnerabilidad de 'Cross-site Scripting' (XSS) por neutralización incorrecta de la entrada durante la generación de páginas web en dashbitco lazy_html, que permite una mutación XSS mediante un ciclo de parseo y serialización del HTML proporcionado por el atacante.
LazyHTML.to_html/2 y LazyHTML.Tree.to_html/2 deciden si deben escapar el texto de un elemento basándose únicamente en su nombre de etiqueta. Un elemento style o script dentro de contenido extranjero SVG o MathML se analiza con las referencias de caracteres decodificadas, pero se serializa como un elemento raw-text (texto sin formato) HTML, por lo que su texto se emite sin escapar. El marcado codificado, como </style><img src=x onerror=...>, dentro de <svg><style> cierra el elemento en la re-análisis y se convierte en código activo (live markup). Las aplicaciones que analizan HTML no confiable con lazy_html, filtran el documento o árbol, y lo serializan para su visualización están afectadas, ya que la carga útil es un nodo de texto plano que ningún filtro de elementos ni atributos detecta.
Este problema afecta a lazy_html: desde la versión 0.1.0 hasta antes de la 0.1.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.