CVE-2026-61824 in Defuddle
Tóm tắt
Bởi VulDB • 22/08/2026
Defuddle làm sạch các trang HTML. Trước phiên bản 0.19.1, các bộ trích xuất (site extractors) nội suy các giá trị alt và src của hình ảnh được lấy từ trang, giá trị og:image và mô tả video vào các chuỗi HTML mà không có cơ chế thoát phù hợp với ngữ cảnh, đồng thời hàm buildExtractorResponse() trả về contentHtml này mà bỏ qua quá trình làm sạch dựa trên DOM của pipeline chính. Các đường dẫn bị ảnh hưởng bao gồm src/extractors/x-article.ts, src/extractors/substack.ts và src/extractors/youtube.ts. Một trang độc hại hoặc nội dung do kẻ tấn công kiểm soát trên một tên miền phù hợp có thể chèn các thuộc tính trình xử lý sự kiện (event-handler attributes) hoặc URL javascript để thực thi khi người dùng mục tiêu hoặc ứng dụng phía downstream render HTML đã trích xuất. Vấn đề này đã được sửa trong phiên bản 0.19.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.