Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-44990 critical CVSS 9.3

XSS (Cross-Site Scripting) dans sanitize-html (CVE-2026-44990)

Résumé

XSS dans sanitize-html (CVE-2026-44990). Des informations confidentielles peuvent être exposées. Exploitable via xmp. Atténuation : mise à jour vers 2.17.4 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

Under the default configuration, sanitize-html can turn attacker-controlled content inside a disallowed xmp element into live HTML or JavaScript. This is a sanitizer bypass in the default disallowedTagsMode: 'discard' path and can lead to stored XSS in applications that render sanitized output back to users.

Details

In sanitize-html@2.17.3, the default nonTextTags list includes only script, style, textarea, and option in index.js lines 138-142. That means disallowed xmp tags are not treated as "drop the entire contents" tags.

Later, in the ontext handler at index.js lines 569-577, the code special-cases textarea and xmp and appends their text content directly to the output without escaping:

} else if ((options.disallowedTagsMode === 'discard' || options.disallowedTagsMode === 'completelyDiscard') && (tag === 'textarea' || tag === 'xmp')) {
  result += text;
}

Because htmlparser2 treats xmp as a raw-text element, markup inside xmp is parsed as text on input but becomes live markup again once it is appended unescaped to the sanitized output.

This creates a default sanitizer bypass. For example, a disallowed wrapper can be used to smuggle or event-handler payloads through sanitization.

The README also appears to contradict the implementation. In the "Discarding the entire contents of a disallowed tag" section, the documented exception list names only style, script, textarea, and option, and does no…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-44990 a été découverte dans sanitize-html.
Des attaquants peuvent cibler un point d'entrée spécifique comme xmp à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.3/10.
Action : mettez à jour sanitize-html vers 2.17.4 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « sanitize-html CVE-2026-44990 » sur le site de l'éditeur.

CVE-2026-44990 (sanitize-html) — CWE-79 / CVSS v3 9.3
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : xmp / nonTextTags / script / style
Correctif : 2.17.4 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une XSS (CWE-79) affecte sanitize-html. Les attaquants atteignent le code vulnérable via xmp sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de sanitize-html. Surface d'attaque : xmp / nonTextTags / script / style.

🔥 Gravité

Gravité : Critique (CVSS 9.3/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 2.17.4.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'sanitize-html' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で sanitize-html を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade sanitize-html to 2.17.4

    ステージング環境で 2.17.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm sanitize-html
[{"type":"SEMVER","events":[{"introduced":"2.17.3"},{"fixed":"2.17.4"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus