CVE-2026-66353 in doggo
Résumé
par VulDB • 27/08/2026
Une vulnérabilité de « Cross-site Scripting » (XSS) due à une neutralisation incorrecte des entrées lors de la génération de pages web dans woylie doggo permet un XSS réfléchi (Reflected XSS).
La fonction `Doggo.normalize_value/2` située dans `lib/doggo.ex` renvoyait les valeurs du champ date enveloppées dans le marqueur `{:safe, ...}` de Phoenix.HTML, signifiant « déjà échappé, émettre tel quel », sans effectuer d'échappement supplémentaire. Par conséquent, la valeur atteignait l'attribut value du `<input>` rendu par le composant field inchangée. Toute application effectuant un affichage via des paramètres contrôlés par l'utilisateur est affectée lors de la boucle normale de soumission de formulaire Phoenix, où une validation échouée renvoie à nouveau la valeur soumise. Le pattern conservait exactement les dix premiers octets et rejetait les valeurs plus courtes, limitant ainsi le payload à dix octets : suffisant pour terminer l'attribut et ouvrir un élément ou attacher un gestionnaire d'événements court, mais insuffisant pour placer du script choisi par l'attaquant en ligne. Seul le type `date="date"` est concerné.
Cette vulnérabilité affecte doggo : des versions 0.1.0 à la version antérieure à 0.14.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.