CVE-2022-23499

Versões do typo3/html-sanitizer anteriores à 1.5.0 ou 2.1.1

O HTML sanitizer é escrito em PHP e tem como objetivo fornecer marcação segura contra XSS com base em tags, atributos e valores explicitamente permitidos. No entanto, devido a um problema de análise no pacote upstream masterminds/html5, marcações maliciosas usadas em sequência com seções CDATA especiais de HTML não podem ser filtradas e sanitizadas. Isso permite contornar o mecanismo de cross-site scripting do typo3/html-sanitizer. O pacote upstream masterminds/html5 fornece elementos de texto bruto HTML (script, style, noframes, noembed e iframe) como nós DOMText, que não foram processados nem sanitizados posteriormente. Apenas comportamentos personalizados que utilizavam um desses nomes de tag estavam vulneráveis a cross-site scripting.

Atualize para a versão 1.5.0 ou 2.1.1 para corrigir o problema.

Como solução temporária, considere desativar comportamentos personalizados que usem os nomes de tag script, style, noframes, noembed ou iframe até que um patch esteja disponível.

Restrinja o acesso ao pacote vulnerável masterminds/html5 para minimizar o risco de exploração.