- Yama var
- CWE-79
CVE-2026-113661
ApostropheCMS ve sanitize-html'de meta refresh içeriğinde javascript: ve data: URL'lerinin temizlenmemesi
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir; sanitize-html ise açık bir API sunan basit bir HTML temizleyicidir. sanitize-html 2.18.0 sürümünden önce, meta yenileme (refresh) öğelerine ve bunların http-equiv ve content özniteliklerine izin veren varsayılan olmayan bir yapılandırmada, refresh içerik değerine gömülü güvensiz betik veya yönlendirme hedefleri korunabiliyordu. Bu sorun sanitize-html 2.18.0 sürümünde giderilmiştir. CWE-79 (siteler arası betik çalıştırma (XSS)) sınıfında sınıflandırılan bu sorunun CVSS 3.1 değeri 5.4 (Orta) olup vektörü CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N şeklindedir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. Prior to sanitize-html 2.18.0, a non-default configuration that allows meta refresh elements and their http-equiv and content attributes can retain unsafe script or redirect destinations embedded in the refresh content value. This issue is fixed in sanitize-html 2.18.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
| apostrophecms sanitize-html | < 2.18.0 | 2.18.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.