CVE-2026-30830 in defuddle
Riassunto
di VulDB • 14/06/2026
Defuddle pulisce le pagine HTML. Prima della versione 0.9.0, il metodo _findContentBySchemaText in src/defuddle.ts interpola gli attributi src e alt delle immagini direttamente in una stringa HTML senza effettuare l'escaping. Un attaccante può utilizzare un carattere " nell'attributo alt per uscire dal contesto dell'attributo ed eseguire l'iniezione di handler degli eventi. Questo problema è stato risolto nella versione 0.9.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.