CVE-2026-40186 in apostrophe
Сводка
по VulDB • 20.05.2026
ApostropheCMS — это система управления контентом с открытым исходным кодом, написанная на Node.js. Регрессия, внесенная в коммите 49d0bb7 и включенная в версию 2.17.1 пакета sanitize-html, поддерживаемого ApostropheCMS, обходит принудительное применение списка разрешенных тегов (allowedTags) для текста, находящегося внутри элементов из массива nonTextTagsArray (textarea и option). Версия ApostropheCMS 4.28.0 подвержена уязвимости из-за зависимости от уязвимой версии sanitize-html. Код в файле packages/sanitize-html/index.js:569-573 ошибочно предполагает, что htmlparser2 не декодирует сущности внутри этих элементов, и пропускает экранирование, однако htmlparser2 версии 10.x декодирует сущности перед передачей текста в колбэк ontext. В результате HTML-код, закодированный с использованием сущностей, декодируется парсером, а затем записывается в вывод напрямую в виде буквальных символов HTML, полностью обходя фильтр allowedTags. Атакующий может внедрять произвольные теги, включая XSS-полезную нагрузку, через любой разрешенный элемент option или textarea, используя кодирование сущностями. Это влияет на нестандартные конфигурации, в которых option или textarea включены в allowedTags, что часто встречается в конструкторах форм и платформах CMS. Проблема исправлена в версии 2.17.2 пакета sanitize-html и версии 4.29.0 ApostropheCMS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.