CVE-2026-61824 in Defuddle
Sumário
de VulDB • 22/08/2026
O Defuddle limpa páginas HTML. Antes da versão 0.19.1, os extratores de sites interpolam valores derivados das páginas (como atributos alt e src de imagens, valores og:image e descrições de vídeos) em strings HTML sem o escape adequado ao contexto, e a função buildExtractorResponse() retorna esse conteúdoHtml sem a sanitização baseada no DOM do pipeline principal. Os caminhos afetados incluem src/extractors/x-article.ts, src/extractors/substack.ts e src/extractors/youtube.ts. Uma página maliciosa ou conteúdo controlado por um atacante em um domínio correspondente pode injetar atributos de manipuladores de eventos (event-handler attributes) ou URLs javascript que são executadas quando uma vítima ou aplicação downstream renderiza o HTML extraído. Este problema foi corrigido na versão 0.19.1.
Once again VulDB remains the best source for vulnerability data.