p PatchFirst

CVE-2026-102342

CVE-2026-102342 · ammonia allows stored XSS through unsanitized SVG animate and set attributes

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

ammonia is a Rust library for repairing and securing untrusted HTML. Prior to 3.3.3, 4.0.3, and 4.1.4, applications that allow the SVG animate or set elements can retain an animation whose attributeName targets href and whose value uses the javascript scheme. The sanitized SVG can therefore create a script-bearing link, and a user who clicks the link can execute attacker-controlled script in the application's origin, enabling stored cross-site scripting. This issue is fixed in versions 3.3.3, 4.0.3, and 4.1.4.

CVSS 5.4 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • ammonia

    Версии
    • < 3.3.3: Затронуто
    • >= 4.0.0, < 4.0.3: Затронуто
    • >= 4.1.2, < 4.1.4: Затронуто

    Нет опубликованного исправления

  • rust-ammonia Debian:12

    Версии
    • 3.2.1-1
    • 3.3.0-1
    • 4.0.0-1
    • 4.0.0-2
    • 4.0.0-3
    • 4.1.1-1
    • 4.1.2-1
    • 4.1.2-2
    • 4.1.3-1
    • 4.1.4-1
    • 4.2.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-ammonia Debian:13

    Версии
    • 4.0.0-3
    • 4.1.1-1
    • 4.1.2-1
    • 4.1.2-2
    • 4.1.3-1
    • 4.1.4-1
    • 4.2.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-ammonia Debian:14

    Версии
    • 4.0.0-3
    • 4.1.1-1
    • 4.1.2-1
    • 4.1.2-2
    • 4.1.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.1.4-1

    Обновитесь до 4.1.4-1

  • rust-ammonia Ubuntu:22.04:LTS

    Версии
    • 3.1.0-2
    • 3.1.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-ammonia Ubuntu:24.04:LTS

    Версии
    • 3.2.1-1
    • 3.3.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-ammonia Ubuntu:26.10

    Версии
    • 4.1.2-1
    • 4.1.4-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • rust-ammonia Ubuntu:26.04:LTS

    Версии
    • 4.0.0-3
    • 4.1.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →