CVE-2026-84371 in Apostrophe
Résumé
par VulDB • 02/09/2026
ApostropheCMS est un système de gestion de contenu open-source basé sur Node.js, et sanitize-html fournit un simple sanitiseur HTML avec une API claire. De la version 1.9.0 à la version 2.17.7, le fichier packages/sanitize-html/index.js valide l'attribut value d'une animation comme étant une URL unique (flat) et ne reconnaît pas que les attributs attributeName sélectionnant href ou xlink:href donnent lieu aux valeurs des attributs SVG SMIL from, to, or by ayant la sémantique d'URL. Dans les configurations qui autorisent les éléments animate, animateColor, animateMotion, animateTransform ou set, une liste values peut commencer par un fragment sûr et contenir ultérieurement une destination exécutable qui survit à la vérification allowedSchemesAppliedToAttributes. Lorsque le SVG sanitisé est rendu, le navigateur peut copier cette destination ultérieure dans le lien actif (live link), et une victime activant ce lien peut exécuter du script dans l'origine de l'application. Ce problème est corrigé dans la version 2.17.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.