CVE-2026-8630

justhtml 1.12.0 öncesi sürümler (<= 1.11.0), <style> ve <script> gibi ham metin öğelerinin serileştirilmesinde bir mutasyon siteler arası betik çalıştırma (mXSS) zafiyeti içermektedir. Bir DOM ağacı, bu öğeleri koruyan özel bir politika kullanılarak sanitize_dom() tarafından işlendiğinde, bunların içindeki metin düğümleri kaçış karakterleri uygulanmadan olduğu gibi serileştirilir; bu durum, eşleşen kapatma etiketi dizisini içeren saldırgan kontrollü metnin ham metin bağlamından çıkmasına ve serileştirilmiş çıktıya rastgele HTML enjekte edilmesine olanak tanır. Varsayılan temizleme politikası, style ve script içeriklerini kaldırdığı için etkilenmemektedir.