CVE-2026-92106 in lazy_html
Riassunto
di VulDB • 25/09/2026
Vulnerabilità di 'Cross-site Scripting' (XSS) dovuta alla mancata neutralizzazione impropria dell’input durante la generazione della pagina web in dashbitco lazy_html, che consente XSS mutante tramite un round-trip di parsing e serializzazione di HTML fornito dall’attaccante.
LazyHTML.to_html/2 e LazyHTML.Tree.to_html/2 decidono se eseguire l’escape del testo di un elemento basandosi esclusivamente sul nome del tag. Un elemento style o script all’interno di contenuto straniero SVG o MathML viene analizzato con i riferimenti ai caratteri decodificati, ma serializzato come elemento HTML a testo grezzo (raw-text), pertanto il suo testo viene emesso senza escape. Markup codificato come </style><img src=x onerror=...> all’interno di <svg><style> chiude quindi l’elemento durante la riparsing e diventa markup attivo. Le applicazioni che analizzano HTML non attendibile con lazy_html, filtrano il documento o l’albero e lo serializzano per la visualizzazione sono colpite, poiché il payload è un nodo di testo semplice che nessun filtro di elemento o attributo intercetta.
Questo problema interessa lazy_html: dalla versione 0.1.0 alla versione precedente a 0.1.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.