CVE-2026-113661

Nome do Software Vulnerável e Versões Afetadas sanitize-html versões anteriores a 2.18.0

Description Uma configuração não padrão que permite tags meta juntamente com seus atributos http-equiv e content falha ao sanitizar adequadamente o valor de content quando o http-equiv está definido como refresh. Isso ocorre porque a função naughtyHref(), que verifica esquemas de URL inseguros, não é aplicada ao atributo content de tags meta. Consequentemente, a execução de scripts inseguros via URIs javascript: ou data:, bem como destinos de redirecionamento https: arbitrários, podem ser mantidos na saída. Isso pode levar a cross-site scripting (XSS) armazenado ou redirecionamentos abertos para usuários que visualizam o HTML sanitizado.

Recommendations Atualize o sanitize-html para a versão 2.18.0. Como solução temporária, restrinja o uso da tag meta ou do atributo content na configuração do sanitizador para evitar a injeção de elementos de atualização (refresh).