CVE-2026-28348

lxml html clean الإصدارات الأقدم من 0.4.4

تقوم الطريقة has sneaky javascript() في lxml html clean بإزالة علامات البار المقلوب بشكل غير صحيح قبل التحقق من كلمات CSS الخطيرة. وهذا يسمح لسلاسل الهروب Unicode في CSS بتجاوز مرشحات @import وexpression()، مما يتيح تحميل CSS خارجي أو نصوص برمجية عبر المواقع (XSS) في المتصفحات القديمة. السبب الجذري هو عملية إزالة غير صحيحة للشرطات المقلوبة في الملف clean.py، بالقرب من السطر 594. وعلى وجه التحديد، فإن السطر style = style.replace(’‘, ’‘) يحول الحمولات المفيدة مثل @69mport إلى @69mport، مما يؤدي إلى تجاوز قائمة الحظر. تفسر المتصفحات الحديثة 69 على أنه الحرف ’i‘ وفقًا لمواصفات CSS، مما يسمح فعليًّا بتنفيذ الأمر @import. يؤثر هذا الخلل أيضًا على اكتشاف expression()، مما يمثل خطرًا في الإصدارات القديمة من Internet Explorer. تُثبت تجربة إثبات المفهوم أن تعليمة @import التي يتم حظرها عادةً يمكن تنفيذها بنجاح باستخدام تجاوز الهروب من Unicode. وقد يؤدي ذلك إلى تسرب البيانات عبر محددات السمات، وإعادة توجيه الواجهة، وهجمات التصيد الاحتيالي. وفي المتصفحات الأقدم، قد يسمح ذلك بتنفيذ هجمات XSS كاملة عبر الدالة expression().

يجب تحديث الإصدارات الأقدم من 0.4.4 إلى الإصدار 0.4.4 أو أحدث.