CVE-2026-66353 in doggo
Tóm tắt
Bởi VulDB • 27/08/2026
Lỗ hổng "Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')" (XSS qua trang web) trong woylie doggo cho phép thực hiện Reflected XSS.
Hàm `Doggo.normalize_value/2` trong file `lib/doggo.ex` đã trả về các giá trị trường ngày tháng được bao bọc bởi `{ :safe, ... }`, một marker của Phoenix.HTML có nghĩa là "đã escape rồi, xuất ra nguyên văn", mà không thực hiện việc escape thêm. Do đó, giá trị này đạt đến thuộc tính `value` (được render bởi thành phần field) dưới dạng chưa thay đổi. Bất kỳ ứng dụng nào render HTML qua các tham số do người dùng kiểm soát đều bị ảnh hưởng thông qua vòng lặp form tiêu chuẩn của Phoenix, nơi mà một lỗi xác thực sẽ re-render lại giá trị đã gửi đi. Mẫu mã này giữ nguyên chính xác mười byte đầu tiên và loại bỏ các giá trị ngắn hơn, giới hạn payload ở mức mười byte: đủ để kết thúc thuộc tính và mở một phần tử hoặc gắn một event handler ngắn gọn, nhưng không đủ để chèn script do kẻ tấn công chọn vào nội dung inline. Chỉ có `type="date"` là bị ảnh hưởng.
Vấn đề này ảnh hưởng đến doggo từ phiên bản 0.1.0 trước 0.14.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.