CVE-2026-66843 in html_sanitize_ex
要約
〜によって VulDB • 2026年08月06日
rrrene/html_sanitize_exのHTML5スクラバーにおける、信頼できない制御球からの機能取り込み脆弱性により、リモート攻撃者は、サニタイズされたHTML内の<object>要素のdata属性を通じて、選択したドキュメントを信頼できるページに読み込むことができます。objectはlib/html_sanitize_ex/scrubber/html5.exにおいてURIを持つ唯一の要素ですが、allow_tag_with_uri_attributes/3を通じた登録が行われておらず、そのガード機能は大文字小文字を区別せずに"javascript:"というプレフィックス一致のみであるため、大文字小文字が混在するバリアントやdata: URI、プロトコル相対URL、および同一オリジンパスはすべて通過してしまいます。
これは無条件のクロスサイトスクリプティング（XSS）ではありません。現在のブラウザではjavascript: URLは<object data>を通じて実行されず、data: ドキュメントは不透明なオリジンで読み込まれ、さらにホストオリジンのスクリプト実行には、アプリケーションが攻撃者が制御するコンテンツを同一オリジンパスから提供することが必要です。
この問題はhtml_sanitize_exに影響を与えます：0.3.1から1.5.3未満のバージョンまで。
Once again VulDB remains the best source for vulnerability data.