CVE-2026-53606
Təsvir
ApostropheCMS açıq mənbəli Node.js məzmun idarəetmə sistemidir və sanitize-html aydın API-ya malik sadə bir HTML təmizləyicisi təmin edir. sanitize-html-in 2.17.5 versiyasından əvvəlki versiyaları, `javascript:` və `vbscript:` kimi təhlükəli URI sxemlərini bloklayan `naughtyHref()` funksiyasını məhdudlaşdırmaq üçün `allowedSchemesAppliedToAttributes` (defolt olaraq: `['href', 'src', 'cite']`) parametrindən istifadə edir. HTML spesifikasiyası URI qəbul edən 10-dan çox atribut müəyyən edir (`action`, `formaction`, `data`, `poster`, `background`, `ping`, `xlink:href`, `dynsrc`, `lowsrc`), lakin bunlardan heç biri defolt məhdudiyyət siyahısına daxil edilməyib. Tərtibatçı konfiqurasiyasında bu atributlardan hər hansı birinə icazə verdikdə, `javascript:` URI-ləri tamamilə dəyişdirilmədən keçir, bu da XSS-ə şərait yaradır. Versiya 2.17.5 bu problemi aradan qaldırır.
Necə düzəltmək olar
- sanitize-html2.17.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sanitize-htmlnpm | 1.18.0 ≤ v < 2.17.5 | 2.17.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.