CVE-2026-61784

Nome do Software Vulnerável e Versões Afetadas xhtml-purifier versões anteriores a 0.4.3

Description A biblioteca falha ao realizar a codificação de entidades HTML (HTML-entity-encode) nos valores de atributos durante a serialização da saída sanitizada. Na função attributeString(), os valores dos atributos são concatenados diretamente em atributos entre aspas duplas sem a codificação adequada. Isso permite que um invasor utilize um caractere de aspas duplas em atributos permitidos, como class, style, title, alt, src ou href, para romper o atributo e injetar atributos adicionais, incluindo manipuladores de eventos JavaScript, como onmouseover ou onerror. Essa falha de sanitização leva ao cross-site scripting (XSS), no qual scripts maliciosos são executados quando a saída é renderizada.

Recommendations Atualizar para a versão 0.4.3.