CVE-2026-116695
Crass: tokenizzazione errata degli URL malformati consente il bypass del sanitizer CSS
- Pubblicato
- 27 ott 2026
- Aggiornato
- 27 ott 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 29 ott 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 29,0%
- Data del modello
- 29 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Crass è un parser CSS per Ruby conforme alla specifica CSS Syntax Level 3. Prima della versione 1.0.8, Crass tratta erroneamente una parentesi di chiusura dopo una barra rovesciata escapata come escapata durante il consumo dei residui di un URL non valido. Crass mantiene quindi dichiarazioni, regole di stile o at-rule all'interno di un token URL non valido, anche se un browser le tratta come CSS attivo. Un sanitizer che analizza CSS non attendibile con Crass e lo riserializza senza rifiutare l'URL non valido può consentire l'uso di CSS per il mascheramento dell'interfaccia utente (UI redress), il caricamento di risorse esterne o l'esfiltrazione di dati basata su CSS, ma questo problema non consente l'esecuzione di script nei browser moderni. Questo problema è risolto nella versione 1.0.8.
Fonti
PoC e write-up per le CVE che ho segnalato (divulgazione coordinata; solo pubblicate e corrette)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.