CVE-2026-116695
Crass: некорректная токенизация плохих URL позволяет обойти CSS-санитайзер
- Опубликовано
- 27 окт. 2026 г.
- Обновлено
- 27 окт. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 29 окт. 2026 г.
Первичный CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XНизкий · следующие 30 дней
- Процентиль
- 29,0 %
- Дата модели
- 29 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Crass — это парсер CSS на Ruby, совместимый со спецификацией CSS Syntax Level 3. До версии 1.0.8 Crass некорректно обрабатывает закрывающую скобку после экранированной обратной косой черты как экранированную при разборе остатков некорректного URL. В результате Crass сохраняет объявления, правила стилей или at-правила внутри токена некорректного URL, хотя браузер рассматривает их как действующий CSS. Санитайзер, который разбирает недоверенный CSS с помощью Crass и повторно сериализует его без отклонения некорректного URL, может допустить использование CSS для подмены интерфейса (UI redress), загрузки внешних ресурсов или эксфильтрации данных на основе CSS, однако эта проблема не позволяет выполнять скрипты в современных браузерах. Проблема исправлена в версии 1.0.8.
Источники
PoC и разборы для CVE, о которых я сообщал (скоординированное раскрытие; только опубликованные и исправленные)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.