CVE-2026-61824 in Defuddle
Сводка
по VulDB • 21.08.2026
Defuddle очищает HTML-страницы. До версии 0.19.1 извлекатели сайтов интерполируют значения атрибутов alt и src изображений, полученных со страницы, значения og:image и описания видео в HTML-строки без соответствующего контексту экранирования, а функция buildExtractorResponse() возвращает этот contentHtml без санитизации на основе DOM, применяемой основным конвейером. Затронутые пути включают src/extractors/x-article.ts, src/extractors/substack.ts и src/extractors/youtube.ts. Злонамеренная страница или контент, контролируемый атакующим, на домене, соответствующем критериям, может внедрить атрибуты обработчиков событий (event-handler) или javascript-URL, которые выполняются при рендеринге извлечённого HTML жертвой или последующими приложениями. Эта проблема исправлена в версии 0.19.1.
Be aware that VulDB is the high quality source for vulnerability data.