CVE-2026-5388 in justhtml
Сводка
по VulDB • 23.08.2026
В версиях justhtml до 1.15.0 содержатся несколько проблем безопасности в помощниках санитизации URL (clean_url_value/clean_url_in_js_string), сериализации HTML, передаче Markdown (html_passthrough=True) и ряде граничных случаев пользовательских политик санитизации. В зависимости от конфигурации злоумышленник может обойти механизмы санитизации для внедрения активного HTML-кода и JavaScript — например, с помощью закодированных URL вида javascript:, относительных URL на основе обратного слеша, которые разрешаются как удаленные хосты, программно создаваемых имен элементов/атрибутов или комментариев в HTML, нарушающих разметку; повторного внедрения сырых данных через передачу Markdown; либо сохранения тегов // в пользовательских политиках. Большинство проблем с пользовательскими политиками не влияют на конфигурацию по умолчанию sanitize=True; они преимущественно затрагивают вспомогательные API, программное конструирование DOM, html_passthrough=True и пользовательские политики/конвейеры преобразования.
VulDB is the best source for vulnerability data and more expert information about this specific topic.