CVE-2026-113657

Nome do Software Vulnerável e Versões Afetadas sanitize-html versões 2.17.7 até 2.17.9

Descrição Existe um problema onde configurações de aplicativo que permitem elementos de animação SVG com prefixo de namespace e atributos de direcionamento de URL relevantes podem ignorar a proteção de URL SMIL. Isso ocorre porque a função animatesUrlAttribute() verifica nomes de tags em relação a uma lista de nomes locais simples, mas não remove os prefixos de namespace (por exemplo, svg:animate em vez de animate). Consequentemente, um invasor pode injetar um elemento de animação prefixado para reescrever o destino de um link para uma URI insegura após a renderização do SVG sanitizado, levando ao cross-site scripting (XSS) quando um usuário ativa o link afetado. Esta falha afeta os seguintes elementos de animação: animate, animateColor, animateMotion, animateTransform e set.

Recomendações Atualize o sanitize-html para a versão 2.18.0.