CVE-2026-27120mediumCWE-75CWE-79CWE-87

CVE-2026-27120: fallo de gravedad media en vapor leaf-kit

Leaf-kit html escaping does not work on characters that are part of extended grapheme cluster

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear leaf-kit

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.1epss 0.3%
En resumen

La función de escape de HTML en Leaf-kit no funciona cuando caracteres especiales se combinan con caracteres Unicode adicionales, permitiendo que atacantes inyecten código malicioso en páginas web. Esto puede permitir robo de datos o control de cuentas de usuarios.

Detalle técnico

La función htmlEscaped en leaf-kit anterior a la versión 1.4.1 falla al procesar agrupaciones de grafemas extendidos, eludiendo la codificación de entidades HTML. Vector de ataque: entrada controlada por el usuario en atributos HTML procesados por plantillas Leaf; impacto: ejecución de XSS reflejado cuando se renderizan atributos con variables escapadas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Leafkit is a templating language with Swift-inspired syntax. Prior to 1.4.1, htmlEscaped in leaf-kit will only escape html special characters if the extended grapheme clusters match, which allows bypassing escaping by using an extended grapheme cluster containing both the special html character and some additional characters. In the case of html attributes, this can lead to XSS if there is a leaf variable in the attribute that is user controlled. This vulnerability is fixed in 1.4.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
vapor · leaf-kit
CVEs relacionadas — vapor leaf-kit

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-37634HIGHLeafKit allows XSS with untrusted user inputEPSS 0.7%CVE-2026-28499MEDIUMLeafKit's HTML escaping may be skipped for Collection values, enabling XSSEPSS 0.3%