CVE-2026-113787

odf-kit istifadəçilərə TypeScript və JavaScript dillərində OpenDocument Format fayllarının (.odt, .ods) yaradılmasına, doldurulmasına, oxunmasına və çevrilməsinə imkan verir. Versiya 0.6.0-dan başlayaraq və versiya 0.14.2-dək render hissəsində `escapeHtml()` köməkçi funksiyası mövcuddur və bu, mətn məzmununa və atribut dəyərlərinə — `href`, `src`, `alt`, `id`, `data-author`, `data-date`, sitat mətni — ardıcıl şəkildə tətbiq edilir. Lakin sətirdaxili (inline) CSS sətirləri buna daxil edilmir. `renderTextSpan` funksiyasında (`dist/odt/to-html/html-renderer.js:195`), məsələn, `fo:color` dəyəri parser tərəfindən (`extractSpanStyle`, read/parser.js:348) sənəddən olduğu kimi `style.fontColor`-a kopyalanır və sonra olduğu kimi atributa əlavə edilir. Dəyərdəki `"` işarəsi atributu vaxtından əvvəl sonlandırır. Eyni filtrlənməmiş `style="${...}"` nümunəsi təxminən on digər çıxış nöqtəsində görünür: paraqraf və başlıq (`paragraphStyleToCss`), cədvəl xanaları və sətirləri (`cellStyleToCss`, `rowStyleToCss`), `<col>` və şəkil stil atributu. Təsirə məruz qalan mənbə atributlarına `fo:color`, `fo:background-color`, `fo:text-shadow`, `fo:letter-spacing`, `fo:font-family` (həm birbaşa, həm də font-face həlli vasitəsilə), `fo:margin-*`, `fo:padding-*`, `fo:line-height`, `fo:border*` və `style:vertical-align` daxildir. Versiya 0.14.2-də düzəliş (patch) tətbiq edilmişdir.