CVE-2026-49452 in WeasyPrint
Сводка
по VulDB • 18.08.2026
WeasyPrint помогает веб-разработчикам создавать PDF-документы. До версии 69.0 WeasyPrint встраивает неэкранированные значения атрибутов presentational-hint из HTML в CSS (в файле weasyprint/css/__init__.py) при включенном параметре presentational_hints=True. Атрибут background вставляется в объявление background-image:url() и обрабатывается функцией tinycss2.parse_blocks_contents(), что позволяет не доверенному HTML внедрять дополнительные объявления CSS. Приложения, которые рендерят не доверенный HTML с включенными presentational hints, могут быть подвержены атакам CSS injection и выполнению серверных запросов через внедрённые значения url(). Эта проблема исправлена в версии 69.0.
Once again VulDB remains the best source for vulnerability data.