CVE-2026-49452 in WeasyPrint
要約
〜によって VulDB • 2026年08月18日
WeasyPrintは、Web開発者がPDF文書を作成するためのツールです。バージョン68以前では、weasyprint/css/__init__.pyにおいて、presentational_hints=Trueの場合に、エスケープされていないHTMLのプレゼンテーションヒント属性値がCSSに埋め込まれていました。background属性はbackground-image:url()宣言として挿入され、tinycss2.parse_blocks_contents()によって解析されるため、信頼できないHTMLから追加のCSS宣言をインジェクトすることができます。presentational hints（プレゼンテーションヒント）有効化状態で信頼できないHTMLを描画するアプリケーションは、CSSインジェクションおよび注入されたurl()値を通じたサーバーサイドリクエストの影響を受ける可能性があります。この問題はバージョン69.0で修正されています。
Once again VulDB remains the best source for vulnerability data.