CVE-2026-116695
Crass : une tokenisation incorrecte des mauvaises URL permet de contourner le sanitizer CSS
- Publié
- 27 oct. 2026
- Mise à jour
- 27 oct. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 29 oct. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 29,0 %
- Date du modèle
- 29 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Crass est un analyseur CSS Ruby conforme à la spécification CSS Syntax Level 3. Avant la version 1.0.8, Crass traite incorrectement une parenthèse fermante suivant une barre oblique inverse échappée comme échappée lors de la consommation des restes d'une URL invalide. Crass conserve donc des déclarations, des règles de style ou des at-rules à l'intérieur d'un token d'URL invalide, alors qu'un navigateur les traite comme du CSS actif. Un assainisseur qui analyse du CSS non fiable avec Crass et le resérialise sans rejeter l'URL invalide peut permettre un CSS utilisé pour le détournement d'interface (UI redress), le chargement de ressources externes ou l'exfiltration de données via CSS, mais ce problème ne permet pas l'exécution de scripts dans les navigateurs modernes. Ce problème est corrigé dans la version 1.0.8.
Sources
PoCs & write-ups pour les CVE que j'ai signalées (divulgation coordonnée ; publiées + corrigées uniquement)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.