Vulnerabilidad en justhtml de EmilStenstrom (CVE-2026-7808)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
23/08/2026
Última modificación:
12/10/2026
Descripción
justhtml antes de la versión 1.16.0 contiene múltiples problemas de omisión de la sanitización de HTML que pueden permitir que contenido activo/peligroso (p. ej., script o style) sobreviva a la sanitización, lo que podría conducir a cross-site scripting. Los problemas afectan principalmente al uso avanzado en lugar de la ruta predeterminada JustHTML(..., sanitize=True) para HTML analizado ordinario: mutar o reutilizar objetos de política de sanitización (incluidos los valores predeterminados exportados) podría debilitar la sanitización posterior; la entrada DOM programática a sanitize()/sanitize_dom() podría pasar por alto nombres de etiquetas con mayúsculas y minúsculas (p. ej., ScRiPt, StYlE); nombres de doctype programáticos manipulados podrían serializarse en marcado activo; y las políticas personalizadas que preservan SVG o MathML podrían permitir elementos de animación, atributos de presentación con referencias url(...) externas, o árboles DOM mal etiquetados como namespace=“html” para omitir las comprobaciones de contenido externo. Corregido en la versión 1.16.0.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA