CVE-2026-113787

odf-kit; kullanıcıların TypeScript ve JavaScript ile OpenDocument Format dosyaları (.odt, .ods) oluşturmasına, doldurmasına, okumasına ve dönüştürmesine olanak tanır. Versiyon 0.6.0'dan başlayarak versiyon 0.14.2 öncesine kadar, render motorunda bir `escapeHtml()` yardımcısı bulunmaktadır ve bu yardımcı metin içeriğine ve öznitelik değerlerine tutarlı bir şekilde uygulanmaktadır — `href`, `src`, `alt`, `id`, `data-author`, `data-date` ve alıntı metinlerinin tamamı bu işlemden geçer. Satır içi CSS dizileri ise geçmez. `renderTextSpan` (`dist/odt/to-html/html-renderer.js:195`) içerisinde, örneğin `fo:color` değeri ayrıştırıcı tarafından dokümandan olduğu gibi `style.fontColor` kısmına kopyalanır (`extractSpanStyle`, read/parser.js:348) ve ardından ham halde özniteliğe eklenir. Değerdeki bir `"` karakteri, özniteliği erken sonlandırır. Aynı kaçış karakteri uygulanmamış `style="${...}"` deseni yaklaşık on diğer üretim noktasında da görülmektedir: paragraf ve başlık (`paragraphStyleToCss`), tablo hücreleri ve satırları (`cellStyleToCss`, `rowStyleToCss`), `<col>` ve görüntü stil özniteliği. Etkilenen kaynak öznitelikleri arasında `fo:color`, `fo:background-color`, `fo:text-shadow`, `fo:letter-spacing`, `fo:font-family` (hem doğrudan hem de font-face çözünürlüğü aracılığıyla), `fo:margin-*`, `fo:padding-*`, `fo:line-height`, `fo:border*` ve `style:vertical-align` yer almaktadır. Versiyon 0.14.2 bir yama içermektedir.