CVE-2026-66353

Web səhifəsinin generasiyası zamanı giriş məlumatlarının yanlış neytrallaşdırılması ('Cross-site Scripting') zəifliyi woylie doggo komponentində Reflected XSS-ə şərait yaradır. lib/doggo.ex faylındakı Doggo.normalize_value/2 funksiyası tarix sahəsinin dəyərlərini onları escape etmədən {:safe, ...} (Phoenix.HTML markeri "artıq escape edilib, olduğu kimi ötür" mənasına gəlir) daxilində qaytarırdı, buna görə də dəyər sahə komponenti tərəfindən render edilən <input> teqinin value atributuna dəyişdirilmədən çatırdı. İstifadəçi tərəfindən idarə olunan parametrlər üzərindən <.field type="date"> render edən hər bir tətbiq, uğursuz validasiya zamanı göndərilmiş dəyərin yenidən render edildiyi standart Phoenix form dövrü vasitəsilə bu problemdən təsirlənir. Şablon yalnız ilk on baytı saxlayır və daha qısa dəyərləri silirdi, beləliklə payload on baytla məhdudlaşdırılırdı: bu, atributu bağlamaq və element açmaq və ya qısa hadisə idarəçisini (event handler) əlavə etmək üçün kifayətdir, lakin hücumçunun seçdiyi skripti sətirsiz (inline) yerləşdirmək üçün kifayət deyil. Yalnız type="date" təsirlənir. Bu problem doggo versiya 0.1.0-dan 0.14.8-ə qədər olan versiyalara təsir edir.