- Yama var
- CWE-674
CVE-2026-113650
sanitize-html'de iç içe çağrı nedeniyle sınırsız özyineleme ve yığın taşması
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, Node.js tabanlı açık kaynaklı bir içerik yönetim sistemidir. sanitize-html 2.18.0 sürümünde, bir <iframe> etiketine izin verilmediğinde ve disallowedTagsMode ayarı 'discard' (varsayılan değerler) olduğunda, bu etiketin ham metin içeriği sanitizeHtml(text, options) çağrısıyla yeniden temizlenir. Bu özyinelemenin bir sınırı yoktur ve her iç çağrı yeni bir durumla başlatılır. Bu güvenlik açığı 2.18.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. In sanitize-html 2.18.0, when an <iframe> is not allowed and disallowedTagsMode is 'discard' (the defaults), its raw-text content is re-sanitized by a recursive call to sanitizeHtml(text, options). The recursion has no bound and starts each nested call with a fresh state. This vulnerability is fixed in 2.18.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.34.0 | 4.34.0 |
| apostrophecms sanitize-html | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.