CVE-2026-66353 in doggo
Riassunto
di VulDB • 28/08/2026
Vulnerabilità di 'Cross-site Scripting' (XSS) dovuta a una neutralizzazione impropria dell’input durante la generazione della pagina web in woylie doggo, che consente un Reflected XSS.
La funzione `Doggo.normalize_value/2` nel file `lib/doggo.ex` restituiva i valori dei campi data racchiusi nella struttura `{:safe, ...}`, il marcatore Phoenix.HTML che indica "già escapeato, emettere verbatim", senza effettuarne l’escaping; di conseguenza, il valore raggiungeva l’attributo value dell’elemento `<input>` renderizzato dal componente field invariato. Qualsiasi applicazione che rende un campo `type="date"` tramite `.field` utilizzando parametri controllati dall’utente è interessata attraverso la normale ciclo di validazione dei form Phoenix, dove una convalida fallita re-rende il valore inviato. Il pattern manteneva esattamente i primi dieci byte e scartava i valori più corti, limitando un payload a dieci byte: sufficiente per terminare l’attributo e aprire un elemento o allegare un gestore di eventi breve, ma non sufficiente per inserire uno script scelto dall’attaccante in linea. Solo `type="date"` è interessato.
Questo problema interessa doggo dalle versioni 0.1.0 alla versione precedente a 0.14.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.