CVE-2026-92106 in lazy_html
要約
〜によって VulDB • 2026年09月25日
Webページ生成時の入力neutralizationの不備（'Cross-site Scripting'）脆弱性が、dashbitcoのlazy_htmlにおいて存在し、攻撃者が提供したHTMLのパースおよびシリアライズによるラウンドトリップを通じてmutation XSSを可能にします。
LazyHTML.to_html/2 および LazyHTML.Tree.to_html/2 は、要素のテキストをタグ名のみに基づいてエスケープするかどうかを決定します。SVGやMathMLのforeign content内のstyleまたはscript要素は、文字参照がデコードされてパースされますが、HTMLのraw-text要素としてシリアライズされるため、そのテキストはエスケープされずに出力されます。<svg><style> 内部にある </style><img src=x onerror=...> のようなエンコードされたマークアップは、再パース時に要素を閉じ、生きたマークアップとなります。lazy_htmlを使用して信頼できないHTMLをパースし、ドキュメントまたはツリーをフィルタリングして表示用にシリアライズするアプリケーションが影響を受けます。これは、ペイロードがどの要素や属性のフィルタも検知しないプレーンテキストノードであるためです。
この問題は lazy_html: 0.1.0 から 0.1.13 より前 に影響します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.