CVE-2026-49452 in WeasyPrint
Résumé
par VulDB • 18/08/2026
WeasyPrint aide les développeurs web à créer des documents PDF. Avant la version 69.0, WeasyPrint intègre des valeurs d'attributs de présentation HTML non échappées dans le CSS via weasyprint/css/__init__.py lorsque presentational_hints=True. L'attribut background est inséré dans une déclaration background-image:url() et analysé par tinycss2.parse_blocks_contents(), permettant à un HTML non fiable d'injecter des déclarations CSS supplémentaires. Les applications qui rendent du HTML non fiable avec les indices de présentation activés peuvent être affectées par une injection CSS et des requêtes côté serveur via des valeurs url() injectées. Ce problème est corrigé dans la version 69.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.