CVE-2026-47344
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W typo3/html-sanitizer przed wersją 2.3.2, gdy włączona jest opcja ALLOW_INSECURE_RAW_TEXT, znaczniki zamykające z białymi znakami (np. </style\t>) nie są rozpoznawane przez sanitizer, ale są akceptowane przez przeglądarki jako prawidłowe znaczniki zamykające. Umożliwia to ominięcie mechanizmu zapobiegającego XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowań lub innych ataków XSS.
Rekomendacja
Zaleca się aktualizację typo3/html-sanitizer do wersji 2.3.2 lub nowszej oraz wyłączenie opcji ALLOW_INSECURE_RAW_TEXT, jeśli nie jest wymagana.
Oryginalny opis (angielski, źródło NVD)
When ALLOW_INSECURE_RAW_TEXT is enabled, whitespace-variant closing tags (e.g., </style\t>) are not recognized by the sanitizer but accepted by browsers as valid end tags, allowing subsequent content to escape sanitization. This allows bypassing the cross-site scripting prevention mechanism of typo3/html-sanitizer before version 2.3.2.