CVE-2026-84371
Açıklama
ApostropheCMS açık kaynaklı bir Node.js içerik yönetim sistemidir ve sanitize-html net bir API ile basit bir HTML temizleyici sağlar. Versiyon 1.9.0'dan versiyon 2.17.7'ye kadar olan sürümlerde, packages/sanitize-html/index.js bir animation value özniteliğini tek bir düz URL olarak doğrular ve href veya xlink:href seçen attributeName'in; from, to veya by özniteliklerinin kardeş değerlerini veren SVG SMIL URL semantiklerini sağladığını tanımaz. animate, animateColor, animateMotion, animateTransform veya set öğelerine izin veren yapılandırmalarda, bir değerler listesi güvenli bir fragmanla başlayabilir ve daha sonra allowedSchemesAppliedToAttributes kontrolünden geçen yürütülebilir bir hedef içerebilir. Temizlenmiş SVG işlendiğinde, tarayıcı bu sonraki hedefi canlı bağlantıya kopyalayabilir ve bağlantıyı etkinleştiren bir mağdur, uygulamanın kökeninde betik çalıştırabilir. Bu sorun versiyon 2.17.7'de düzeltilmiştir.
Nasıl düzeltilir
- sanitize-html2.17.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sanitize-htmlnpm | 1.9.0 ≤ v < 2.17.7 | 2.17.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.