CVE-2026-49452

Nome do Software Vulnerável e Versões Afetadas WeasyPrint (versões afetadas não especificadas)

Description Um problema de injeção de CSS ocorre quando as dicas de apresentação HTML estão habilitadas. Valores de atributos não escapados são incorporados ao CSS, permitindo a injeção de declarações CSS arbitrárias. Isso afeta especificamente o atributo background usado para construir o CSS, que é então processado pela função tinycss2.parse blocks contents(). Um invasor pode explorar isso fornecendo entradas HTML manipuladas para disparar requisições do lado do servidor via declarações url() injetadas.

Recommendations Escapar os valores dos atributos antes de incorporá-los ao CSS. Restringir os valores permitidos para as dicas de apresentação. Como medida de mitigação temporária, desabilite o recurso presentational hints definindo-o como False.