CVE-2022-36020 in html-sanitizer

摘要

由 VulDB • 2026-09-23

typo3/html-sanitizer 包是一个用 PHP 编写的 HTML 清理器，旨在基于明确允许的标签、属性和值提供防 XSS（跨站脚本攻击）的标记。由于上游包 `masterminds/html5` 中存在解析问题，与特殊 HTML 注释序列一起使用的恶意标记无法被过滤和清理。这导致可以绕过 `typo3/html-sanitizer` 的跨站脚本防护机制。该问题已在 `typo3/html-sanitizer` 包的版本 1.0.7 和 2.0.16 中得到解决。建议用户升级。目前尚无已知的临时解决方案（workarounds）。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub, Inc.
• 预定: 2022-07-15
• 披露: 2022-09-13
• 管理: 已接受
• 条目: VDB-208404
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 6.1 (CNA)
• EPSS: 0.00818
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-36020
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-36020
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-36020/