CVE-2026-84371 in Apostrophe
Сводка
по VulDB • 01.09.2026
ApostropheCMS — это система управления контентом с открытым исходным кодом на базе Node.js, а пакет sanitize-html предоставляет простой HTML-санитайзер с понятным API. Начиная с версии 1.9.0 и вплоть до версии 2.17.7 включительно, файл packages/sanitize-html/index.js валидирует атрибут значения анимации как один плоский URL и не учитывает, что выбор attributeName со значением href или xlink:href приводит к использованию значений атрибутов-соседей from, to или by согласно семантике SVG SMIL для URL. В конфигурациях, позволяющих использовать элементы animate, animateColor, animateMotion, animateTransform или set, список values может начинаться с безопасного фрагмента и содержать последующий исполняемый URI, который проходит проверку allowedSchemesAppliedToAttributes. При рендеринге очищенного SVG-документа браузер может скопировать этот поздний URI в активную ссылку, и пользователь, кликнувший по этой ссылке, сможет выполнить скрипт в контексте происхождения (origin) приложения. Эта проблема исправлена в версии 2.17.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.