CVE-2026-84371 in Apostrophe
要約
〜によって VulDB • 2026年09月01日
ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムであり、sanitize-htmlは明確なAPIを備えたシンプルなHTMLサニタイザーを提供します。バージョン1.9.0からバージョン2.17.7まで、packages/sanitize-html/index.jsはアニメーション値属性を単一の平坦なURLとして検証し、attributeNameがhrefまたはxlink:hrefを選択した場合に兄弟要素のfrom、to、by属性によるSVG SMIL URLセマンティクスを認識しません。animate、animateColor、animateMotion、animateTransform、set要素の使用が許可されている構成では、valuesリストは安全なフラグメントで始まり、allowedSchemesAppliedToAttributesチェックを回避して残る後続の実行可能な宛先を含めることができます。サニタイズされたSVGがレンダリングされると、ブラウザはその後の宛先を生きているリンクにコピーし、そのリンクをアクティブ化した被害者はアプリケーションのオリジン内でスクリプトを実行できます。この問題はバージョン2.17.7で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.