CVE-2026-6827

إصدارات justhtml الأقدم من 1.17.0

توجد مشكلات أمنية في عمليات التنقية والتسلسل والمعالجة البرمجية لنموذج DOM. عندما تحافظ السياسات المخصصة على مساحات الأسماء الخارجية مثل SVG أو MathML، قد ينجو المحتوى الخطير مثل نقاط تكامل HTML (SVG <foreignObject>، MathML <annotation-xml encoding="text/html">) وحمولات XSS التغييرية التفاضلية الخاصة بمحلل البرمجة من عملية التنقية وتصبح HTML نشطة بعد إعادة التحليل. بالإضافة إلى ذلك، قد تسمح علامات SVG filter=”url(...)“ وعلامات <style> المحفوظة بتحميل موارد CSS عبر @import أو background-image:url(). وقد يتم تسلسل العقد البرمجية الخاصة بالنصوص البرمجية أو الأنماط أو التعليقات لتصبح علامات نشطة. تشمل المشكلات الأخرى تغير ذاكرة التخزين المؤقتة لمسار التنقية ودورات DOM بين العناصر الأصلية والتابعة التي قد تؤدي إلى حلقات لا نهائية. تؤثر هذه المشكلات بشكل أساسي على التكوينات المتقدمة أو المخصصة بدلاً من المسار الافتراضي JustHTML(..., sanitize=True).

قم بالتحديث إلى الإصدار 1.17.0 أو أحدث.