Vulnerabilidad en justhtml de EmilStenstrom (CVE-2026-4671)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
23/08/2026
Última modificación:
12/10/2026
Descripción
justhtml anterior a la versión 1.18.0 contiene múltiples problemas de denegación de servicio de baja gravedad en el manejo de selectores CSS y la linkificación. Las aplicaciones que evalúan cadenas de selectores controladas por el atacante (a través de query(), matches() o transformaciones basadas en selectores), ejecutan la coincidencia de selectores sobre documentos no confiables muy grandes, construyen árboles DOM a partir de estructuras no confiables, o habilitan la linkificación sobre texto controlado por el atacante pueden consumir una cantidad desproporcionada de CPU o memoria. Los desencadenantes incluyen selectores de tamaño excesivo, listas de selectores grandes, selectores compuestos de tamaño excesivo, cadenas de combinadores largas, pseudoclases funcionales profundamente anidadas, coincidencia repetida de tokens/posicional, gráficos DOM cíclicos que causan un recorrido no terminante, y entrada de linkificación con mucha puntuación o corchetes finales. Estas son preocupaciones solo de disponibilidad y no permiten por sí mismas la ejecución de scripts, la divulgación de datos o la omisión del saneador. El uso predeterminado de JustHTML(sanitize=True) no se espera que esté expuesto, ya que los selectores son normalmente proporcionados por el código de la aplicación.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA