CVE-2026-116695

Nome do Software Vulnerável e Versões Afetadas Crass versões anteriores a 1.0.8

Description O Crass trata incorretamente um parêntese de fechamento após uma barra invertida escapada como escapado ao consumir os remanescentes de uma URL inválida. Isso faz com que declarações, regras de estilo ou at-rules permaneçam dentro de um token de URL inválida, que os navegadores interpretam como CSS ativo. Um sanitizador que utilize o Crass para analisar CSS não confiável e reserializá-lo sem rejeitar a URL inválida pode permitir o uso de CSS para redirecionamento de interface do usuário (UI redress), carregamento de recursos externos ou exfiltração de dados via CSS. Este problema não permite a execução de scripts em navegadores modernos.

Recommendations Atualizar para a versão 1.0.8.