CVE-2026-116695
क्रैस: खराब URL के गलत टोकनाइज़ेशन से CSS सैनिटाइज़र बायपास संभव
- प्रकाशित
- 27 अक्टू॰ 2026
- अद्यतन
- 27 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 29 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 29.0%
- मॉडल दिनांक
- 29 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Crass एक Ruby CSS पार्सर है जो CSS Syntax Level 3 विनिर्देश के अनुरूप है। 1.0.8 से पहले, Crass एक खराब URL के अवशेषों को पढ़ते समय escaped backslash के बाद आने वाले closing parenthesis को गलती से escaped मान लेता है। इसलिए Crass घोषणाओं, style rules, या at-rules को एक खराब URL token के अंदर रखता है, भले ही ब्राउज़र उन्हें live CSS के रूप में मानता है। एक sanitizer जो Crass के साथ अविश्वसनीय CSS को पार्स करता है और खराब URL को अस्वीकार किए बिना उसे पुनः क्रमबद्ध (reserialize) करता है, वह UI redress, बाहरी संसाधन लोडिंग, या CSS-आधारित डेटा exfiltration के लिए उपयोग किए जाने वाले CSS की अनुमति दे सकता है, लेकिन यह समस्या आधुनिक ब्राउज़रों में script execution को सक्षम नहीं करती है। यह समस्या संस्करण 1.0.8 में ठीक कर दी गई है।
स्रोत
PoCs और मेरे द्वारा रिपोर्ट किए गए CVEs के लिए विवरण (समन्वित प्रकटीकरण; केवल प्रकाशित + पैच किए गए)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।