Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-436

CVE-2026-116695

Crass Ruby CSS ayrıştırıcısında hatalı belirteçleme nedeniyle CSS temizleyici atlatma açığı

rgrove crass

Orta 5,3 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu zafiyet, web sitelerinde kullanıcı içeriğini temizlemek için kullanılan bir yazılım bileşenini etkiler ve sınırlı ama gerçek bir risk taşır. Betik çalıştırma riski modern tarayıcılarda bulunmamakla birlikte, saldırganların sayfa görünümünü değiştirmesine veya veri sızdırmasına olanak tanıyabilir. Etkilenen sistemlerin güncellenmesi orta öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Crass, CSS Syntax Level 3 belirtimine uyumlu bir Ruby CSS ayrıştırıcısıdır. 1.0.8 öncesi sürümlerde Crass, bozuk bir URL belirtecinin kalıntılarını tüketirken kaçışlı ters eğik çizgiden sonra gelen kapanış parantezini yanlışlıkla kaçışlı kabul eder. Bu nedenle tarayıcının canlı CSS olarak işlediği tanımlar bozuk URL belirteci içinde kalır. Bu sorun, güvenilmez CSS'i Crass ile ayrıştırıp bozuk URL'yi reddetmeden yeniden serileştiren temizleyicileri etkiler.

Saldırgan ne yapabilir?

Saldırgan, temizleyiciyi atlatarak arayüz aldatmaca (UI redress), dış kaynak yükleme veya CSS tabanlı veri sızdırma amaçlı stiller enjekte edebilir. Modern tarayıcılarda bu sorunun betik çalıştırmaya yol açmadığı belirtilmiştir.

Kaynaktaki açıklama (İngilizce)

Crass is a Ruby CSS parser that is compliant with the CSS Syntax Level 3 specification. Prior to 1.0.8, Crass incorrectly treats a closing parenthesis after an escaped backslash as escaped while consuming the remnants of a bad URL. Crass therefore keeps declarations, style rules, or at-rules inside a bad URL token even though a browser treats them as live CSS. A sanitizer that parses untrusted CSS with Crass and reserializes it without rejecting the bad URL can allow CSS used for UI redress, external resource loading, or CSS-based data exfiltration, but this issue does not enable script execution in modern browsers. This issue is fixed in version 1.0.8.

Ne yapmalı?

  1. Crass kütüphanesini 1.0.8 veya daha yeni bir sürüme yükseltin. Üretici
  2. Uygulamanızın bağımlılıklarını güncelledikten sonra CSS temizleme işlevini yeniden test edin. Genel öneri

Ek önlemler

  • Kullanıcıdan gelen CSS içeriğini, temizleyiciden geçirdikten sonra da ek bir kontrol veya beyaz liste filtresiyle doğrulayın. Genel öneri
  • Bağımlılık yönetim araçlarıyla Crass sürümlerini düzenli olarak denetleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
rgrove crass < 1.0.8 1.0.8

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.