Vulnérabilité dans justhtml (CVE-2026-9769, CVSS 7.5)

Résumé

Vulnérabilité dans justhtml (CVE-2026-9769). Risque d'opérations non autorisées ou de divulgation. Exploitable via RecursionError. Atténuation : mise à jour vers 1.10.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

justhtml through 1.9.1 allows denial of service via deeply nested HTML. During parsing, JustHTML.__init__() always reaches TreeBuilder.finish(), which unconditionally calls _populate_selectedcontent(). That function recursively traverses the DOM via _find_elements() / _find_element() without a depth bound, allowing attacker-controlled deeply nested input to trigger an unhandled RecursionError on CPython. Depending on the host application's exception handling, this can abort parsing, fail requests, or terminate a worker/process.

Details

TreeBuilder.finish() (treebuilder.py#L476) unconditionally calls _populate_selectedcontent(self.document) at line 494. _populate_selectedcontent() (treebuilder.py#L1243) calls _find_elements() (treebuilder.py#L1280) to recursively search the DOM tree for `` elements:

def _find_elements(self, node: Any, name: str, result: list[Any]) -> None:
    """Recursively find all elements with given name."""…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-9769 a été découverte dans dos.
Des attaquants peuvent cibler un point d'entrée spécifique comme RecursionError à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour dos vers 1.10.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « dos CVE-2026-9769 » sur le site de l'éditeur.

CVE-2026-9769 (dos) — CWE-674 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : RecursionError / _node_to_html_compact / _to_text_collect / _is_blocky_element
Versions affectées : <= 1.9.1
Correctif : 1.10.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

justhtmlは制御されない再帰によりサービス拒否を引き起こす脆弱性があります。

📍 Périmètre concerné

バージョン1.9.1までのjusthtml

🔥 Gravité

攻撃者がHTMLを解析する際に深くネストされた要素を提供できると、RecursionErrorが発生し、サービス拒否状態になる可能性があります。

🔧 Comment corriger

バージョン1.10.0にアップデートすることで問題が修正されます。

🛡️ Contournement

情報なし

🔍 Détection

深くネストされたHTMLを提供するテストを実行し、アプリケーションが予期せず終了するかどうか確認します。

Paquets affectés

pip justhtml

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.10.0"}]}]