CVE-2026-6827

Nome do Software Vulnerável e Versões Afetadas justhtml versões anteriores a 1.17.0

Description Existem problemas de segurança na sanitização, serialização e manipulação programática de DOM. Quando políticas personalizadas preservam namespaces estrangeiros como SVG ou MathML, conteúdos perigosos, como pontos de integração HTML (SVG <foreignObject>, MathML <annotation-xml encoding="text/html">) e payloads de parser-differential de mutation-XSS, podem sobreviver à sanitização e se tornar HTML ativo após o reprocessamento. Além disso, o atributo SVG filter="url(...)" e tags <style> preservadas podem permitir CSS de carregamento de recursos via @import ou background-image:url(). Nós programáticos de script, estilo ou Comentário podem ser serializados em marcações ativas. Outros problemas incluem a mutação do cache do pipeline de sanitização e ciclos de pai/filho no DOM que podem causar loops infinitos. Esses problemas afetam principalmente configurações avançadas ou personalizadas, em vez do caminho seguro padrão JustHTML(..., sanitize=True).

Recommendations Atualize para a versão 1.17.0 ou posterior.