CVE-2026-66843 in html_sanitize_ex
요약
\~에 의해 VulDB • 2026. 08. 06.
rrrene의 html_sanitize_ex에 포함된 HTML5 scrubber에서 신뢰할 수 없는 제어 영역(Untrusted Control Sphere)으로부터 기능을 포함하는 취약점이 발견되었습니다. 이를 통해 원격 공격자가 sanitized HTML 내 `<object>` 요소의 `data` 속성을 사용하여 선택한 문서를 신뢰할 수 있는 페이지로 로드할 수 있습니다. lib/html_sanitize_ex/scrubber/html5.ex에서 `object`는 URI를 포함하는 유일한 요소이며, `allow_tag_with_uri_attributes/3`을 통해 등록되지 않았습니다. 또한 해당 요소에 적용된 방어 조치는 소문자 "javascript:" 접두사 일치 검사뿐이므로, 대소문자가 혼합된 변형, data: URI, 프로토콜 상대적 URL 및 동일 출처 경로가 모두 필터링을 우회합니다.
이는 무조건적인 크로스 사이트 스크립팅(XSS)은 아닙니다. 현재 브라우저에서는 `<object data>`를 통해 javascript: URL이 실행되지 않으며, data: 문서는 불투명한 원점(opaque origin)에서 로드됩니다. 또한 호스트 출처의 스크립트 실행을 위해서는 애플리케이션이 공격자가 제어하는 콘텐츠를 동일 출처 경로에서 제공해야 합니다.
본 이슈는 html_sanitize_ex에 영향을 미치며, 0.3.1부터 1.5.3 미만 버전에서 발생합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.