CVE-2026-6827

justhtml 1.17.0 versiyasından əvvəlki versiyalarda təmizləmə (sanitization), seriyallaşdırma və proqram təminatı vasitəsilə DOM idarəetməsində çox sayda təhlükəsizlik problemi mövcuddur. Xüsusi siyasətlər kənar ad sahələrini (SVG/MathML) saxladıqda, HTML inteqrasiya nöqtələri (SVG <foreignObject>, MathML <annotation-xml encoding="text/html">) və mutation-XSS parser-differensial payload-ları kimi təhlükəli məzmunlar təmizləmədən sağ çıxa və yenidən analiz edildikdən sonra aktiv HTML-ə çevrilə bilər; SVG filter="url(...)" və saxlanılan <style> resurs yükləyici CSS (@import, background-image:url()) qala bilər. Proqram təminatı vasitəsilə yaradılmış script/style/Comment düyünləri aktiv nişanlamaya (markup) seriyallaşdırıla bilər. Əlavə gücləndirmə düzəlişləri sanitize-pipeline keş mutasiyasına və sonsuz döngülərə səbəb ola biləcək DOM valideyn/övlad dövrlərinə yönəlmişdir. Problemlərin çoxu standart JustHTML(..., sanitize=True) təhlükəsiz yolu ilə müqayisədə daha çox mürəkkəb və ya xüsusi konfiqurasiyalara təsir edir.