CVE-2026-117645

Nome do Software Vulnerável e Versões Afetadas phoenix html versões 1.0.0 até 3.3.4 phoenix html versões 4.0.0 até 4.3.9

Description Ocorre Cross-site Scripting (XSS) quando um invasor controla nomes de atributos, permitindo a injeção de atributos e scripts no HTML renderizado através da função Phoenix.HTML.attributes escape/1. A função key escape/1 não neutraliza adequadamente espaços em branco em chaves binárias, permitindo a criação de novos atributos, como manipuladores de eventos. Além disso, chaves do tipo atom são apenas dasherizadas, permitindo a passagem de caracteres como aspas e colchetes angulares. Este problema afeta aplicações que constroem chaves de atributos a partir de entradas não confiáveis e as renderizam usando HEEx <tag {@attrs}>, content tag/3 ou chamadas diretas. Chaves aninhadas data, aria e phx também são suscetíveis. Isso pode levar à execução de scripts arbitrários nos navegadores dos usuários que visualizam as páginas afetadas.

Recommendations Atualize o phoenix html para a versão 3.3.5 ou posterior para versões no intervalo de 1.x a 3.x. Atualize o phoenix html para a versão 4.4.0 ou posterior para versões no intervalo 4.x. Não derive nomes de atributos de entradas não confiáveis. Quando chaves de atributos dinâmicas forem necessárias, valide cada chave contra uma lista de permissões ou um padrão como ^[a-zA-Z][a-zA-Z0-9:. -]*$ antes de passá-la para attributes escape/1 ou para uma expressão HEEx {@attrs}. Evite criar atoms a partir de dados de requisição.