CVE-2026-66353

Nome do Software Vulnerável e Versões Afetadas woylie doggo versões 0.1.0 até 0.14.7

Descrição Ocorre Cross-site Scripting (XSS) Refletido quando a função Doggo.normalize value/2 em lib/doggo.ex retorna valores de campo de data envolvidos em um marcador {:safe, ...}. Este marcador instrui o Phoenix.HTML a emitir o conteúdo literalmente sem escape, permitindo que o valor atinja o atributo value do elemento <input> renderizado sem alterações. Isso afeta aplicações que renderizam <.field type="date"> usando parâmetros controlados pelo usuário durante um ciclo de formulário Phoenix, quando uma validação falha e o valor enviado é renderizado novamente. O payload é limitado a dez bytes, o que é suficiente para encerrar o atributo e abrir um elemento ou anexar um manipulador de evento curto, mas insuficiente para scripts inline.

Recomendações Atualize para a versão 0.14.8 ou posterior. Use type="text" em vez de type="date" para campos que recebem parâmetros enviados pelo usuário. Passe um valor explícito já validado como uma data ISO 8601 para o componente, em vez de permitir que ele leia diretamente do campo do formulário.