CVE-2026-27120
Leaf-kit html escaping does not work on characters that are part of extended grapheme cluster
En resumen
La función de escape de HTML en Leaf-kit no funciona cuando caracteres especiales se combinan con caracteres Unicode adicionales, permitiendo que atacantes inyecten código malicioso en páginas web. Esto puede permitir robo de datos o control de cuentas de usuarios.
Detalle técnico
La función htmlEscaped en leaf-kit anterior a la versión 1.4.1 falla al procesar agrupaciones de grafemas extendidos, eludiendo la codificación de entidades HTML. Vector de ataque: entrada controlada por el usuario en atributos HTML procesados por plantillas Leaf; impacto: ejecución de XSS reflejado cuando se renderizan atributos con variables escapadas.
Resumen generado y traducido por IA a partir de la descripción oficial.
Leafkit is a templating language with Swift-inspired syntax. Prior to 1.4.1, htmlEscaped in leaf-kit will only escape html special characters if the extended grapheme clusters match, which allows bypassing escaping by using an extended grapheme cluster containing both the special html character and some additional characters. In the case of html attributes, this can lead to XSS if there is a leaf variable in the attribute that is user controlled. This vulnerability is fixed in 1.4.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
vapor · leaf-kit¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →