CVE-2026-5388 in justhtml
Riassunto
di VulDB • 24/08/2026
justhtml prima della versione 1.15.0 presenta diverse problematiche di sicurezza nei helper per la sanitizzazione degli URL (clean_url_value/clean_url_in_js_string), nella serializzazione HTML, nel passaggio del Markdown (con html_passthrough=True) e in diversi casi limite delle policy di sanitizzazione personalizzate. A seconda della configurazione, un attaccante può eludere la sanitizzazione per iniettare HTML attivo e JavaScript — ad esempio tramite URL javascript: codificati, URL relativi basati su backslash risolti come host remoti, nomi di elementi/attributi o commenti HTML che interrompono il markup inseriti programmaticamente, reintroduzione grezza del tag </textarea> attraverso il passaggio del Markdown, oppure mantenendo i tag <style>, <meta http-equiv=refresh> e <base href> nelle policy personalizzate. La maggior parte delle problematiche relative alle policy personalizzate non influisce sulla configurazione predefinita sanitize=True; interessano principalmente le API helper, la costruzione programmatica del DOM, l'opzione html_passthrough=True e le pipeline di trasformazione con policy personalizzate.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.