CVE-2026-116695

概要

CrassはCSS Syntax Level 3仕様に準拠したRuby製CSSパーサーです。1.0.8より前のバージョンでは、不正なURLの残りを消費する際に、エスケープされたバックスラッシュの後の閉じ括弧をエスケープ済みとして誤って扱います。そのためCrassは、ブラウザが有効なCSSとして扱う宣言、スタイルルール、またはアットルールを、不正なURLトークン内に保持してしまいます。信頼できないCSSをCrassで解析し、不正なURLを拒否せずに再シリアライズするサニタイザーでは、UIリドレス、外部リソースの読み込み、またはCSSベースのデータ窃取に使用されるCSSを許可してしまう可能性がありますが、この問題によってモダンブラウザでスクリプトが実行されることはありません。この問題はバージョン1.0.8で修正されています。

ソース

• security-researchPoC

  報告した CVE に関する PoC と write-up（協調的開示；公開済みかつパッチ適用済みのみ）