Emilstenstrom

Múltiplos problemas de negação de serviço de baixa gravidade existem no processamento de seletores CSS e na linkificação. As aplicações podem consumir CPU ou memória desproporcionais ao avaliar strings de seletores controladas por atacantes via `query()`, `matches()` ou transformações baseadas em seletores, executar a correspondência de seletores em documentos não confiáveis muito grandes, construir árvores DOM a partir de estruturas não confiáveis ou habilitar a linkificação em textos controlados por atacantes. Os gatilhos incluem seletores superdimensionados, listas de seletores extensas, seletores compostos superdimensionados, cadeias de combinadores longas, pseudo-classes funcionais profundamente aninhadas, correspondência de token/posicional repetida, grafos DOM cíclicos que causam travessia não terminante e entrada de linkificação com excesso de pontuação ou colchetes finais. Esses problemas afetam a disponibilidade e não permitem a execução de scripts, divulgação de dados ou bypass de sanitização.

Existem problemas de segurança na sanitização, serialização e manipulação programática de DOM. Quando políticas personalizadas preservam namespaces estrangeiros como SVG ou MathML, conteúdos perigosos, como pontos de integração HTML (SVG `<foreignObject>`, MathML `<annotation-xml encoding="text/html">`) e payloads de parser-differential de mutation-XSS, podem sobreviver à sanitização e se tornar HTML ativo após o reprocessamento. Além disso, o atributo SVG `filter="url(...)"` e tags `<style>` preservadas podem permitir CSS de carregamento de recursos via `@import` ou `background-image:url()`. Nós programáticos de script, estilo ou Comentário podem ser serializados em marcações ativas. Outros problemas incluem a mutação do cache do pipeline de sanitização e ciclos de pai/filho no DOM que podem causar loops infinitos. Esses problemas afetam principalmente configurações avançadas ou personalizadas, em vez do caminho seguro padrão `JustHTML(..., sanitize=True)`.

Múltiplos problemas de bypass de sanitização de HTML permitem que conteúdos ativos ou perigosos, como tags de script ou style, sobrevivam ao processo de sanitização, podendo levar ao cross-site scripting. Esses problemas afetam principalmente cenários de uso avançado, em vez do caminho de sanitização padrão. As causas técnicas incluem a mutação ou reutilização de objetos de política de sanitização, o que pode enfraquecer a sanitização subsequente. Além disso, a entrada programática de DOM fornecida às funções `sanitize()` e `sanitize dom()` pode não detectar nomes de tags em letras mistas (ex: `ScRiPt`, `StYlE`). Outros vetores incluem nomes de doctype programáticos manipulados que são serializados em marcações ativas e políticas personalizadas que preservam SVG ou MathML, as quais podem permitir elementos de animação, atributos de apresentação com referências externas `url(...)` ou árvores DOM rotuladas incorretamente como `namespace="html"` para burlar as verificações de conteúdo estrangeiro.

Múltiplos problemas de segurança existem nos auxiliares de sanitização de URL, serialização HTML e passthrough de Markdown. Um invasor pode ignorar a sanitização para injetar HTML ativo e JavaScript através de vários métodos: usando URLs javascript: codificadas, URLs relativas baseadas em barras invertidas que são resolvidas como hosts remotos, nomes de elementos ou atributos programáticos que quebram a marcação, ou comentários HTML. Além disso, tags `</textarea>` brutas podem ser reintroduzidas via passthrough de Markdown quando `html passthrough=True` é utilizado. Certas políticas personalizadas também podem preservar tags `<style>`, `<meta http-equiv=refresh>` ou `<base href>`. Esses problemas afetam principalmente APIs auxiliares, construção programática de DOM, políticas personalizadas, pipelines de transformação e configurações onde `html passthrough=True` está habilitado, em vez da configuração padrão `sanitize=True`. As funções auxiliares afetadas incluem `clean url value()` e `clean url in js string()`.

Um problema de mutation cross-site scripting (mXSS) ocorre ao utilizar uma `SanitizationPolicy` personalizada que preserva namespaces estrangeiros, como definir `drop foreign namespaces=False` ao permitir elementos SVG/MathML ou containers de texto bruto como `<style>`. Esta falha de diferencial de parser permite que entradas especialmente manipuladas sejam sanitizadas em marcações que parecem seguras, mas tornam-se inseguras ao serem reprocessadas por um navegador ou outro parser HTML, permitindo a injeção de marcação. A configuração segura padrão `sanitize=True` não é afetada.