CVE-2026-113661

اسم البرنامج المصاب والإصدارات المتأثرة sanitize-html الإصدارات السابقة لـ 2.18.0

Description تؤدي تهيئة غير افتراضية تسمح بعلامات meta مع سمات http-equiv و content الخاصة بها إلى فشل في تعقيم قيمة content بشكل صحيح عندما يكون http-equiv مضبوطًا على refresh. يحدث هذا لأن دالة naughtyHref()، التي تتحقق من مخططات URL غير الآمنة، لا يتم تطبيقها على سمة content في علامات meta. وبناءً على ذلك، يمكن أن تظل النصوص البرمجية غير الآمنة عبر javascript: أو data:، بالإضافة إلى وجهات إعادة التوجيه https: التعسفية، موجودة في المخرجات. قد يؤدي ذلك إلى حدوث ثغرة cross-site scripting (XSS) مخزنة أو إعادة توجيه مفتوحة للمستخدمين الذين يشاهدون HTML المعقم.

Recommendations تحديث sanitize-html إلى الإصدار 2.18.0. كإجراء مؤقت، قم بتقييد استخدام علامة meta أو سمة content في تهيئة أداة التعقيم لمنع حقن عناصر التحديث (refresh).