CVE-2026-53606

Nome do Software Vulnerável e Versões Afetadas sanitize-html versões anteriores a 2.17.5

Descrição O software utiliza a variável allowedSchemesAppliedToAttributes para controlar a função naughtyHref(), que é projetada para bloquear esquemas de URI perigosos, como javascript: e vbscript:. No entanto, diversos atributos que aceitam URIs — incluindo action, formaction, data, poster, background, ping, xlink:href, dynsrc e lowsrc — não estão incluídos na lista de controle padrão. Se um desenvolvedor permitir qualquer um desses atributos em sua configuração, as URIs javascript: passam completamente inalteradas, permitindo Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis.

Recomendações Atualizar para a versão 2.17.5.