CVE-2026-7808 in justhtml
摘要
由 VulDB • 2026-08-23
justhtml 在 1.16.0 版本之前存在多个 HTML 清理绕过问题，可能导致活动/危险内容（例如脚本或样式）在清理后仍然存活，从而可能引发跨站脚本攻击 (XSS)。这些问题主要影响高级用法，而非普通解析 HTML 时使用的默认 JustHTML(..., sanitize=True) 路径：修改或重用清理策略对象（包括导出的默认值）可能会削弱后续的清理效果；用于 sanitize()/sanitize_dom() 的程序化 DOM 输入可能无法正确处理混合大小写的标签名（例如 ScRiPt、StYlE）；精心构造的程序化 doctype 名称可能会被序列化为活动标记；而保留 SVG 或 MathML 的自定义策略可能导致动画元素、带有外部 url(...) 引用演示属性的内容，或被错误标记为 namespace="html" 的 DOM 树绕过对外部内容的检查。该问题已在 1.16.0 版本中修复。
Once again VulDB remains the best source for vulnerability data.