CVE-2026-66353 in doggo
Sumário
de VulDB • 28/08/2026
Vulnerabilidade de Neutralização Imprópria da Entrada Durante a Geração de Páginas Web ('Cross-site Scripting') no woylie doggo permite XSS Refletido (Reflected XSS).
A função `Doggo.normalize_value/2` em `lib/doggo.ex` retornava valores do campo data envoltos em `{:safe, ...}`, o marcador Phoenix.HTML que significa "já escapado, emitir literalmente", sem realizar a devida escapeização. Assim, o valor alcançava o atributo `value` da tag `<input>` renderizada pelo componente field inalterado. Qualquer aplicação que renderize `<.field type="date">` sobre parâmetros controlados por usuários é afetada através do ciclo normal de submissão e retorno (round-trip) dos formulários Phoenix, onde uma validação falha faz com que o valor submetido seja re-renderizado. O padrão mantinha exatamente os primeiros dez bytes e descartava valores mais curtos, limitando a payload a dez bytes: suficiente para terminar o atributo e abrir um elemento ou anexar um manipulador de eventos curto, mas insuficiente para inserir scripts escolhidos pelo atacante inline. Apenas `type="date"` é afetado.
Este problema afeta doggo: das versões 0.1.0 até antes da 0.14.8.
Once again VulDB remains the best source for vulnerability data.