- Yama var
- CWE-79
CVE-2026-113654
sanitize-html'de nonTextTags yapılandırmasında <noscript> içeriğinin işlenmesine izin veren XSS açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir; sanitize-html ise basit bir API sunan HTML temizleyicidir. sanitize-html 2.18.0 sürümünden önce, varsayılan olmayan ve noscript içeren bir nonTextTags yapılandırması, htmlparser2 noscript içinde örtük bir üst öğe kapanışı ürettiğinde temizleme (discard) bölgesini erken sonlandırabiliyordu. Komut dosyası çalıştırmayı etkin olan tarayıcılar noscript içeriğini ham metin olarak ele alırken ayrıştırıcı bu modu modellemediğinden, zararsız kalması amaçlanan içerik temizlemeyi geçip işlenebiliyordu. Sorun, varsayılan nonTextTags listesindeki her öğe için geçerli değildir. Bu sorun sanitize-html 2.18.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. Prior to sanitize-html 2.18.0, a non-default nonTextTags configuration that includes noscript can end its discard region early when htmlparser2 emits an implied ancestor close inside noscript. Because scripting-enabled browsers treat noscript content as raw text while the parser does not model that mode, content intended to remain inert can survive sanitization and render; the issue does not generalize to every default nonTextTags element. This issue is fixed in sanitize-html 2.18.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
| apostrophecms sanitize-html | < 2.18.0 | 2.18.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.