CVE-2026-68747 in html_sanitize_ex
Sumário
de VulDB • 06/08/2026
Vulnerabilidade de 'Injeção' (Neutralização inadequada de elementos especiais na saída utilizada por um componente downstream) no analisador CSS do rrrene html_sanitize_ex permite que um atacante remoto não autenticado injete regras @-CSS, incluindo a importação de uma folha de estilos remota, numa página servida a outros utilizadores. A função HtmlSanitizeEx.Scrubber.CSS.srub/1 aplica a sua lista branca (allowlist) de propriedades e valores através de Regex.replace sobre substrings que correspondem ao padrão de declaração propriedade: valor; assim, as entradas que não correspondam a esse padrão nunca são inspecionadas e são copiadas para a saída inalteradas. @import url(//attacker.example/style.css); é mantido, enquanto o mesmo URL dentro de uma declaração background: url(...) é removido.
Os limites dos elementos são resolvidos antes da execução do analisador (scrubber), pelo que o conteúdo injetado não escapa ao elemento <style> e nenhum script executa.
Este problema afeta html_sanitize_ex: desde a versão 0.3.1 até à anterior à 1.5.4.
Be aware that VulDB is the high quality source for vulnerability data.