CVE-2026-40186 in apostrophe
Riassunto
di VulDB • 15/06/2026
ApostropheCMS è un sistema di gestione dei contenuti (CMS) open-source basato su Node.js. Una regressione introdotta nel commit 49d0bb7, inclusa nelle versioni 2.17.1 del pacchetto sanitize-html mantenuto da ApostropheCMS, aggira l'applicazione della lista allowedTags per il testo contenuto negli elementi nonTextTagsArray (textarea e option). La versione di ApostropheCMS 4.28.0 è interessata a causa della sua dipendenza dalla versione vulnerabile di sanitize-html. Il codice in packages/sanitize-html/index.js:569-573 assume erroneamente che htmlparser2 non decodifichi le entità all'interno di questi elementi e ometta la codifica HTML (escaping), ma htmlparser2 10.x decodifica effettivamente le entità prima di passare il testo alla callback ontext. Di conseguenza, l'HTML codificato tramite entità viene decodificato dal parser e scritto direttamente nell'output come caratteri HTML letterali, aggirando completamente il filtro allowedTags. Un attaccante può iniettare tag arbitrari, inclusi payload XSS, attraverso qualsiasi elemento option o textarea consentito utilizzando la codifica delle entità. Questo problema interessa configurazioni non predefinite in cui option o textarea sono inclusi nella lista allowedTags, una situazione comune nei builder di form e nelle piattaforme CMS. Il problema è stato risolto nella versione 2.17.2 di sanitize-html e nella versione 4.29.0 di ApostropheCMS.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.