CVE-2026-44990
Açıklama
ApostropheCMS açık kaynaklı bir Node.js içerik yönetim sistemidir ve sanitize-html net bir API ile basit bir HTML temizleyici sağlar. Varsayılan yapılandırma altında, 2.17.4 öncesindeki `sanitize-html` sürümleri, izin verilmeyen bir `xmp` öğesi içindeki saldırgan kontrollü içeriği canlı HTML veya JavaScript'e dönüştürebilir. Bu durum, varsayılan `disallowedTagsMode: 'discard'` yolunda bir temizleyici atlatma hatasıdır ve temizlenmiş çıktıyı kullanıcılara geri sunan uygulamalarda saklanan XSS'e yol açabilir. Sürüm 2.17.4 bu sorunu gidermektedir.
Nasıl düzeltilir
- sanitize-html2.17.4 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:41064
- access.redhat.com/errata/RHSA-2026:47737
- access.redhat.com/errata/RHSA-2026:36882
- access.redhat.com/errata/RHSA-2026:46903
- access.redhat.com/errata/RHSA-2026:57191
- access.redhat.com/errata/RHSA-2026:60386
- access.redhat.com/errata/RHSA-2026:46685
- access.redhat.com/errata/RHSA-2026:46598
- access.redhat.com/errata/RHSA-2026:63103
- access.redhat.com/errata/RHSA-2026:63046
- access.redhat.com/errata/RHSA-2026:60441
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sanitize-htmlnpm | 2.17.3 ≤ v < 2.17.4 | 2.17.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.