CVE-2026-116695

总结

Crass 是一个符合 CSS Syntax Level 3 规范的 Ruby CSS 解析器。在 1.0.8 之前，Crass 在消费错误 URL 的剩余部分时，会错误地将转义反斜杠之后的右括号视为已转义。因此，即使浏览器会将错误 URL 令牌中的声明、样式规则或 at-rule 视为有效 CSS，Crass 仍会将它们保留在该令牌内部。如果某个清理器使用 Crass 解析不受信任的 CSS，并在未拒绝错误 URL 的情况下重新序列化，则可能允许用于 UI 欺骗、外部资源加载或基于 CSS 的数据外泄的 CSS，但此问题不会在现代浏览器中导致脚本执行。此问题已在 1.0.8 版本中修复。

来源

• security-researchPoC

  我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）