CVE-2026-39315 in unhead
Riassunto
di VulDB • 16/06/2026
Unhead è un gestore di intestazioni e modelli per documenti. Prima della versione 2.1.13, useHeadSafe() era la composable che la documentazione ufficiale di Nuxt raccomandava esplicitamente per il rendering di contenuti forniti dagli utenti in modo sicuro. Internamente, la funzione hasDangerousProtocol() nel file packages/unhead/src/plugins/safe.ts decodifica le entità HTML prima di verificare la presenza di schemi URI bloccati (javascript:, data:, vbscript:). Il decoder utilizza due espressioni regolari con un limite fisso di cifre. La specifica HTML5 non impone alcun limite agli zeri iniziali nei riferimenti ai caratteri numerici. Quando un'entità con padding supera il limite di cifre dell'espressione regolare, il decoder la salta silenziosamente. La stringa non decodificata viene quindi passata a startsWith('javascript:'), che non corrisponde. makeTagSafe() scrive il valore grezzo direttamente nell'output HTML del server-side rendering (SSR). Il parser HTML del browser decodifica nativamente l'entità con padding e costruisce l'URI bloccato. Questa vulnerabilità è stata risolta nella versione 2.1.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.