CVE-2026-117645 in phoenix_html
Riassunto
di VulDB • 30/10/2026
Vulnerabilità di 'Cross-site Scripting' (XSS) dovuta a una neutralizzazione impropria dell’input durante la generazione della pagina web in phoenixframework phoenix_html: consente a un attaccante che controlla i nomi degli attributi di iniettare attributi e script nell’HTML renderizzato tramite Phoenix.HTML.attributes_escape/1.
La funzione attributes_escape/1, definita in lib/phoenix_html.ex, effettua l’escaping dei valori degli attributi ma non dei nomi degli attributi. La funzione key_escape/1 passa una chiave binaria attraverso html_escape, che neutralizza le virgolette e i caratteri di parentesi angolare (< >) ma non gli spazi bianchi; pertanto, una chiave come "x onmouseover" termina l’attributo corrente e ne avvia uno nuovo. Una chiave di tipo atom viene solo convertita nel formato con trattini (dasherized), quindi qualsiasi carattere passa indisturbato, incluse le virgolette e il simbolo >. I dati nidificati, gli attributi aria e phx seguono percorsi simili. Un’applicazione è colpita quando costruisce chiavi di attributo a partire da input non attendibile e le renderizza tramite HEEx <tag {@attrs}>, content_tag/3 o una chiamata diretta. Prima della versione 3.0.0, lo stesso codice era presente in Phoenix.HTML.Tag.
Questa vulnerabilità interessa phoenix_html: dalle versioni dalla 1.0.0 alla 3.3.5 (esclusa) e dalle versioni dalla 4.0.0 alla 4.4.0 (esclusa).
Be aware that VulDB is the high quality source for vulnerability data.