CVE-2026-66353 in doggo
Сводка
по VulDB • 27.08.2026
Уязвимость «Неправильная нейтрализация ввода при генерации веб-страницы» (Cross-site Scripting) в woylie doggo позволяет осуществлять Reflected XSS.
Функция `Doggo.normalize_value/2` из файла `lib/doggo.ex` возвращала значения полей даты, обернутые в маркер Phoenix.HTML `{::safe, ...}`, означающий «уже экранировано, выводить как есть», без дополнительного экранирования. В результате значение попадало в атрибут `value`, рендеримый компонентом поля, в неизменном виде. Любое приложение, использующее этот подход для рендеринга на основе управляемых пользователем параметров (user-controlled params), подвержено риску через обычный цикл Phoenix-формы: при неудачной проверке данных (failed validation) отправленное значение перерендеривается заново. Паттерн сохранял ровно первые десять байт и отбрасывал более короткие значения, ограничивая длину полезной нагрузки (payload) десятию байтами: этого достаточно для завершения атрибута и открытия элемента или привязки короткого обработчика событий, но недостаточно для размещения выбранного злоумышленником скрипта inline. Затронут только тип `type="date"`.
Эта проблема затрагивает пакет doggo в версиях от 0.1.0 до (не включая) 0.14.8.
Be aware that VulDB is the high quality source for vulnerability data.