CVE-2026-116695
Crass: Fehlerhafte Tokenisierung von fehlerhaften URLs ermöglicht die Umgehung des CSS-Sanitizers
- Veröffentlicht
- 27.10.2026
- Aktualisiert
- 27.10.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 29.10.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 29,0 %
- Modelldatum
- 29.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Crass ist ein Ruby-CSS-Parser, der mit der Spezifikation CSS Syntax Level 3 konform ist. Vor Version 1.0.8 behandelt Crass eine schließende Klammer nach einem maskierten Backslash fälschlicherweise als maskiert, während die Reste einer fehlerhaften URL verarbeitet werden. Crass behält daher Deklarationen, Stilregeln oder At-Rules innerhalb eines fehlerhaften URL-Tokens bei, obwohl ein Browser sie als aktives CSS behandelt. Ein Sanitizer, der nicht vertrauenswürdiges CSS mit Crass parst und es ohne Ablehnung der fehlerhaften URL neu serialisiert, kann CSS ermöglichen, das für UI-Redress, das Laden externer Ressourcen oder CSS-basierte Datenexfiltration genutzt wird, aber dieses Problem ermöglicht in modernen Browsern keine Skriptausführung. Dieses Problem ist in Version 1.0.8 behoben.
Quellen
PoCs & Write-ups zu CVEs, die ich gemeldet habe (koordinierte Offenlegung; nur veröffentlichte und gepatchte)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.