CVE-2026-92106
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Biblioteka lazy_html (wersje od 0.1.0 do 0.1.13) zawiera podatność typu mutation XSS. Funkcje LazyHTML.to_html/2 i LazyHTML.Tree.to_html/2 decydują o escapowaniu tekstu elementu wyłącznie na podstawie nazwy znacznika, przez co elementy style lub script wewnątrz treści obcych SVG/MathML są serializowane jako surowy tekst HTML bez escapowania. Zakodowany znacznik, np. </style><img src=x onerror=...> wewnątrz <svg><style>, po ponownym parsowaniu zamyka element i staje się aktywnym kodem.
Ocena ryzyka
Aplikacje, które parsują niezaufany HTML za pomocą lazy_html, filtrują dokument lub drzewo, a następnie serializują go do wyświetlenia, są narażone na wykonanie złośliwego skryptu w przeglądarce użytkownika. Ponieważ ładunek jest zwykłym węzłem tekstowym, żaden filtr elementów ani atrybutów go nie wykryje.
Rekomendacja
Zaktualizuj bibliotekę lazy_html do wersji 0.1.13 lub nowszej. Do czasu aktualizacji unikaj parsowania i ponownej serializacji niezaufanego HTML zawierającego treści SVG/MathML.
Powiązane podatności
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-82158Krytyczne
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 zawiera podatność typu cross-site scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wstrzyknięcia skryptu.
- CVE-2026-115732Krytyczne
W trapperkeeper-authorization używanym przez Puppet Server występuje nieprawidłowa autoryzacja przy dopasowywaniu nazw certyfikatów. Klient posiadający certyfikat podpisany przez CA, którego nazwa rozszerza lub skraca autoryzowaną nazwę hosta, może zostać autoryzowany jako ten host. Umożliwia to podszywanie się pod inne węzły, a w Puppet Enterprise dostęp do administracji CA i zdalne wykonanie poleceń na zarządzanych węzłach.
- CVE-2026-115731Krytyczne
W kodzie przetwarzania raportów Puppet używanym przez Puppet Server występuje deserializacja niezaufanych danych. Klient posiadający dowolny certyfikat agenta podpisany przez CA może wykonać dowolny kod na serwerze Puppet jako użytkownik usługi, przesyłając raport z spreparowanym typem rich-data przez żądanie PUT. Jeśli CA automatycznie podpisuje żądania bez silnej weryfikacji, nieuwierzytelniony atakujący sieciowy może uzyskać taki certyfikat.
- CVE-2026-95733Krytyczne
W komponencie HPE Networking Fabric Composer istnieje podatność, której wykorzystanie może pozwolić nieuwierzytelnionemu atakującemu z sąsiedniej sieci na wykonanie dowolnego kodu w zaatakowanym systemie.
- CVE-2026-95732Krytyczne
W systemie operacyjnym bazowym HPE Networking Fabric Composer występuje podatność pozwalająca na obejście uwierzytelniania. Jej wykorzystanie może umożliwić nieuwierzytelnionemu atakującemu z sąsiedniej sieci wykonanie dowolnego kodu w zaatakowanym systemie.
- CVE-2026-95731Krytyczne
W interfejsie wiersza poleceń HPE Networking Fabric Composer występują podatności związane z zaszytymi na stałe hasłami. Nieuwierzytelniony zdalny atakujący może użyć tych poświadczeń, aby uzyskać dostęp administracyjny z podwyższonymi uprawnieniami do zaatakowanego systemu.
- CVE-2026-63471Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia ścieżkę OpenAPI do dekoratora trasy @app.get(...) jako ciąg w pojedynczych cudzysłowach bez escapowania osadzonych cudzysłowów. Ścieżka kontrolowana przez atakującego może zamknąć ciąg i wstrzyknąć wyrażenie Python do argumentu dekoratora. Poprawny składniowo wygenerowany kod wykonuje się z uprawnieniami aplikacji lub procesu CI przy imporcie modułu.
- CVE-2026-63470Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia Operation.summary do docstringa wygenerowanego handlera trasy jako ciąg w potrójnych cudzysłowach bez escapowania osadzonych potrójnych cudzysłowów. Podsumowanie operacji kontrolowane przez atakującego może zamknąć docstring i wstrzyknąć instrukcję Python do ciała handlera. Poprawny składniowo kod wykonuje się z uprawnieniami procesu serwera przy wywołaniu handlera.
- CVE-2026-63469Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia dodatkowy klucz kodu statusu odpowiedzi do słownika responses={...} dekoratora trasy jako ciąg w pojedynczych cudzysłowach bez escapowania osadzonych cudzysłowów. Klucz drugiej, niepodstawowej odpowiedzi kontrolowany przez atakującego może zamknąć literał klucza i wstrzyknąć wyrażenie Python. Poprawny składniowo kod wykonuje się z uprawnieniami aplikacji lub procesu CI przy imporcie modułu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in dashbitco lazy_html allows mutation XSS via a parse and serialize round-trip of attacker-supplied HTML. LazyHTML.to_html/2 and LazyHTML.Tree.to_html/2 decide whether to escape an element's text from its tag name alone. A style or script element inside SVG or MathML foreign content is parsed with character references decoded, but is serialized as an HTML raw-text element, so its text is emitted unescaped. Encoded markup such as </style><img src=x onerror=...> inside <svg><style> therefore closes the element on re-parse and becomes live markup. Applications that parse untrusted HTML with lazy_html, filter the document or tree, and serialize it for display are affected, since the payload is a plain text node that no element or attribute filter sees. This issue affects lazy_html: from 0.1.0 before 0.1.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS