CVE-2026-66843 in html_sanitize_ex
Сводка
по VulDB • 07.08.2026
Уязвимость включения функциональности из неконтролируемой сферы доверия в HTML-очистителе (scrubber) библиотеки rrrene/html_sanitize_ex позволяет удалённому злоумышленнику загрузить документ по своему выбору на доверяемую страницу с использованием атрибута data элемента <object> в очищенном HTML. Элемент object является единственным элементом, содержащим URI, в lib/html_sanitize_ex/scrubber/html5.ex, который никогда не регистрировался через allow_tag_with_uri_attributes/3, а его единственная защита — это префиксное совпадение для строчного "javascript:", поэтому варианты с смешанным регистром, data: URIs, протокольно-независимые URL и пути в пределах того же источника (same-origin) проходят фильтрацию.
Это не безусловная уязвимость межсайтового скриптинга (XSS). В современных браузерах javascript: URL не выполняется через <object data>, документы с data: загружаются в непрозрачном источнике, а выполнение скриптов на уровне хоста дополнительно требует от приложения обслуживания контента, контролируемого злоумышленником, из пути того же источника.
Эта проблема затрагивает html_sanitize_ex: начиная с версии 0.3.1 до (не включая) 1.5.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.