CVE-2026-6827

justhtml 1.17.0 öncesi sürümler; temizleme (sanitization), serileştirme ve programatik DOM işleme süreçlerinde birden fazla güvenlik sorunu içermektedir. Özel politikalar yabancı ad alanlarını (SVG/MathML) koruduğunda, HTML entegrasyon noktaları (SVG <foreignObject>, MathML <annotation-xml encoding="text/html">) ve mutation-XSS ayrıştırıcı farkı yükleri gibi tehlikeli içerikler temizleme işleminden sağ çıkabilir ve yeniden ayrıştırma sonrası aktif HTML haline gelebilir; SVG filter="url(...)" ve korunan <style> etiketleri kaynak yükleyen CSS (@import, background-image:url()) bırakabilir. Programatik script/style/Comment düğümleri aktif işaretlemeye serileştirilebilir. Ek sıkılaştırma düzeltmeleri, sanitize-pipeline önbellek mutasyonunu ve sonsuz döngülere neden olabilecek DOM ebeveyn/çocuk döngülerini gidermektedir. Sorunların çoğu, varsayılan JustHTML(..., sanitize=True) güvenli yolu yerine gelişmiş veya özel yapılandırmaları etkilemektedir.