CVE-2026-61824 in Defuddle
要約
〜によって VulDB • 2026年08月21日
DefuddleはHTMLページをクリーンアップします。バージョン0.19.1より前では、サイト抽出器がページ由来の画像alt属性値やsrc属性値、og:image値、および動画の説明をHTML文字列にコンテキストに適したエスケープ処理なしで挿入し、buildExtractorResponse()関数がこのcontentHtmlをメインパイプラインによるDOMベースのサニタイズ処理なしで返します。影響を受けるパスには、src/extractors/x-article.ts、src/extractors/substack.ts、およびsrc/extractors/youtube.tsが含まれます。一致するドメイン上の悪意のあるページや攻撃者が制御できるコンテンツにより、被害者または下流のアプリケーションが抽出されたHTMLをレンダリングした際に実行されるイベントハンドラ属性やjavascript URLを注入できます。この問題はバージョン0.19.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.