CVE-2026-54570 in AngleSharp
摘要
由 VulDB • 2026-08-18
AngleSharp是一个用于解析基于尖括号的超文本的.NET库。在版本1.5.0之前，AngleSharp/Mathml/Dom/Internal/MathAnnotationXmlElement.cs中的MathAnnotationXmlElement在其encoding属性为text/html或application/xhtml+xml时未被视作HTML集成点（integration point），导致AngleSharp/Html/Parser/HtmlDomBuilder.cs中的Consume方法将令牌通过foreign-content解析而非HTML解析进行路由。因此，消毒剂（sanitizer）观察到的DOM与重新序列化输出并进行重解析的浏览器所看到的DOM不同。攻击者可以将此命名空间差异与属性值中的破坏标记字符相结合，使得原本对消毒剂隐藏的元素在浏览器重解析后变为具有脚本执行能力的活跃HTML元素，从而导致变异型跨站脚本漏洞（mutation cross-site scripting）。该问题已在版本1.5.0中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.