- Yama var
- CWE-79
CVE-2026-113657
sanitize-html'de SMIL animasyon ad alanı öneki nedeniyle javascript: URI enjeksiyonu (XSS) açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir ve sanitize-html, açık bir API sunan basit bir HTML temizleyicidir. sanitize-html 2.17.7 sürümünden 2.18.0 sürümüne kadar, ad alanı önekli SVG animasyon öğelerine ve ilgili URL hedefleyen niteliklere izin veren bir uygulama yapılandırması, önekli etiket adlarının öneksiz animasyon öğesi kontrolüyle eşleşmemesi nedeniyle SMIL URL korumasını atlatabilir. Bu atlatma, temizlenmiş SVG görüntülendikten sonra bir bağlantının hedefini güvensiz bir URI'ye yeniden yazabilir; etkilenen bağlantıyı kullanıcı etkinleştirdiğinde betik çalıştırılır. Varsayılan temizleyici yapılandırması koşulsuz olarak etkilenmez. Bu sorun sanitize-html 2.18.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. From sanitize-html 2.17.7 until 2.18.0, an application configuration that permits namespace-prefixed SVG animation elements and the relevant URL-targeting attributes can bypass the SMIL URL protection because prefixed tag names do not match the unprefixed animation-element check. The bypass can rewrite a link destination to an unsafe URI after the sanitized SVG is rendered, with script execution occurring when a user activates the affected link; the default sanitizer configuration is not unconditionally affected. This issue is fixed in sanitize-html 2.18.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
| apostrophecms sanitize-html | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.