JVNDB-2026-027973

rrreneのHTMLSanitizeExにおける信頼できない制御領域からの機能の組み込みに関する脆弱性

rrrene の html_sanitize_ex にある HTML5 スクラバーの「信頼できない制御領域からの機能の組み込み」脆弱性により、リモートの攻撃者がサニタイズされた HTML 内の ＜object＞ 要素の data 属性を通じて任意のドキュメントを信頼されたページに読み込ませることが可能になります。object は lib/html_sanitize_ex/scrubber/html5.ex における URI を持つ唯一の要素ですが、allow_tag_with_uri_attributes/3 を通じて登録されておらず、その唯一の防御は小文字の "javascript:" に対する接頭辞マッチです。そのため、大文字小文字混在のバリアント、data: URI、プロトコル相対 URL、同一オリジンのパスはいずれも通過してしまいます。これは無条件のクロスサイトスクリプティングではありません。現在のブラウザでは ＜object data＞ を介して javascript: URL は実行されず、data: ドキュメントは不透明なオリジンでロードされます。ホストオリジンでのスクリプト実行にはさらに攻撃者が制御するコンテンツを同一オリジンのパスから提供する必要があります。この問題は html_sanitize_ex のバージョン 0.3.1 から 1.5.3 より前のバージョンに影響します。

rrrene

• HTMLSanitizeEx 0.3.1 以上 1.5.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-66843

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-66843 - OSV

1. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-66843

1. National Vulnerability Database (NVD) : CVE-2026-66843
2. 関連文書 : Fix bad `data` on <object>  rrrene/html_sanitize_ex@bec27fe  GitHub

• [2026年08月12日]
    掲載