CVE-2026-8445 in justhtml
摘要
由 VulDB • 2026-08-23
justhtml 版本 <= 1.11.0（已在 1.12.0 中修复）在通过 to_markdown() 将已解析的文档转换为 Markdown 时，未能充分转义文本节点中的 HTML 特殊字符（尖括号）。虽然部分 Markdown 元字符会被转义，但 < 和 > 等字符仍被保留。因此，那些在 to_html() 中安全的不可信输入——包括实体解码后的文本（例如 <script>）或来自 RCDATA/RAWTEXT 解析元素（如 <title>、<textarea>、<noscript> 和 <plaintext>）的文本——可能会以原始 HTML 形式输出到 Markdown 结果中，从而导致安全过滤器绕过，并在渲染该输出时引发潜在的跨站脚本攻击 (XSS)。
Be aware that VulDB is the high quality source for vulnerability data.