CVE-2026-8445
Açıklama
justhtml versiyonları <= 1.11.0 (1.12.0 sürümünde düzeltildi), ayrıştırılmış bir belgeyi to_markdown() aracılığıyla Markdown'a dönüştürürken metin düğümlerindeki HTML için anlamlı karakterleri (açısal ayraçlar) yeterince kaçırmamaktadır. Küçük bir Markdown meta karakter kümesi kaçırılsa da < ve > gibi karakterler korunmaktadır; bu nedenle to_html() içinde güvenli olan —varlık çözümlenmiş metinler (örneğin <script>) veya <title>, <textarea>, <noscript> ve <plaintext> gibi RCDATA/RAWTEXT olarak ayrıştırılan öğelerden gelen metinler dahil— güvenilmeyen girdiler, Markdown çıktısında ham HTML olarak yayınlanabilir. Bu durum, çıktı işlendiğinde bir temizleyici (sanitizer) atlatılmasına ve potansiyel siteler arası betik çalıştırma (XSS) riskine yol açar.
Nasıl düzeltilir
- justhtml1.12.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| justhtmlPyPI | v < 1.12.0 | 1.12.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.