Vulnerabilidad en justhtml de EmilStenstrom (CVE-2026-6827)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
23/08/2026
Última modificación:
12/10/2026
Descripción
justhtml anterior a la versión 1.17.0 contiene múltiples problemas de seguridad en la sanitización, serialización y manejo programático del DOM. Cuando las políticas personalizadas preservan espacios de nombres externos (SVG/MathML), contenido peligroso como puntos de integración HTML (SVG , MathML ) y cargas útiles de XSS por mutación con diferencias de analizador podrían sobrevivir a la sanitización y convertirse en HTML activo después de un nuevo análisis; SVG filter=“url(...)” y preservado podrían dejar CSS de carga de recursos (@import, background-image:url()). Los nodos programáticos de script/style/Comment podrían serializarse en marcado activo. Correcciones de endurecimiento adicionales abordan la mutación de la caché de la tubería de sanitización y los ciclos padre/hijo del DOM que podrían causar bucles infinitos. La mayoría de los problemas afectan a configuraciones avanzadas o personalizadas en lugar de la ruta segura predeterminada de JustHTML(..., sanitize=True).
Impacto
Puntuación base 4.0
5.10
Gravedad 4.0
MEDIA
Puntuación base 3.x
6.10
Gravedad 3.x
MEDIA