CVE-2026-116695
Crass: Tokenização incorreta de URLs malformadas permite contornar o sanitizador de CSS
- Publicado
- 27 de out. de 2026
- Atualizado
- 27 de out. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 29 de out. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 29,0%
- Data do modelo
- 29 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Crass é um parser de CSS em Ruby compatível com a especificação CSS Syntax Level 3. Antes da versão 1.0.8, o Crass trata incorretamente um parêntese de fechamento após uma barra invertida escapada como escapado ao consumir os restos de uma URL inválida. Portanto, o Crass mantém declarações, regras de estilo ou at-rules dentro de um token de URL inválida, mesmo que um navegador as trate como CSS ativo. Um sanitizador que analisa CSS não confiável com o Crass e o reserializa sem rejeitar a URL inválida pode permitir CSS usado para desfiguração de UI, carregamento de recursos externos ou exfiltração de dados baseada em CSS, mas este problema não permite execução de script em navegadores modernos. Este problema foi corrigido na versão 1.0.8.
Fontes
PoCs & write-ups para CVEs que reportei (divulgação coordenada; apenas publicados e corrigidos)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.