CVE-2026-68749

html sanitize ex من الإصدار 0.3.1 حتى 1.5.2

يمكن لمهاجم عن بُعد غير مصدَّق أن يتسبب في استنفاد موارد وحدة المعالجة المركزية (CPU) للخادم عن طريق إدخال تعريف CSS طويل ضمن كود HTML الذي تمت معالجته. تكمن المشكلة في الدالة HtmlSanitizeEx.Scrubber.CSS.scrub/1، حيث يستخدم التعبير النمطي لمطابقة أسماء الخصائص تعبيرًا جشعًا غير محدود [-w]+ متبوعًا بفاصلة لا غنى عنها. وعندما لا تتبع سلسلة طويلة من أحرف الكلمات فاصلة، يقوم المحرك بأداء عمل تربيعي بالنسبة لطول السلسلة. وقد يؤدي ذلك إلى تشبع مجمع جدولة BEAM، مما يجعل التطبيق لا يستجيب. تؤثر هذه المشكلة بشكل خاص على HtmlSanitizeEx.html5/1، وأدوات التنقية المخصصة التي تستخدم HtmlSanitizeEx, extend: :html5، والاستدعاءات المباشرة لـ HtmlSanitizeEx.Scrubber.CSS.scrub/1 عبر سمات الأنماط أو نصوص عناصر <style>.

قم بتحديث html sanitize ex إلى الإصدار 1.5.3 أو أحدث.

كحل مؤقت، قم بتنقية المدخلات باستخدام basic html/1 أو markdown html/1 أو strip tags/1 لتجنب أداة تنقية CSS.

قم بتعريف أداة تنقية مخصصة تمنع كل من سمات الأنماط وعناصر <style>.

قم بتطبيق حد صارم لحجم HTML الذي يقدمه المستخدم قبل وصوله إلى أداة التنقية للحد من تكلفة المعالجة.