ApostropheCMS sanitize-html: la región de descarte de nonTextTags finaliza antes de tiempo con un cierre implícito, permitiendo procesar el contenido de <noscript>
Resumen
sanitize-html descarta el contenido de cada elemento en nonTextTags. Delimita dicha región utilizando los eventos close de htmlparser2, e ignora el indicador isImplied que htmlparser2 le pasa. Cerrar un ancestro aún abierto desde el interior de un <noscript> hace que htmlparser2 desenrolle su pila más allá del noscript; el cierre sintético e implícito que emite durante el proceso finaliza prematuramente la región de descarte, y todo lo que sigue se trata como contenido normal del cuerpo.
Un navegador con scripting habilitado analiza el contenido de <noscript> como texto sin formato, por lo que el mismo marcado se procesa allí como texto inerte. En consecuencia, el depurador emite elementos que la página en sí no habría tenido.
Reproducción
const sanitizeHtml = require("sanitize-html");
sanitizeHtml('<div><noscript></div><img src="http://evil.test/t.gif"></noscript>', {
allowedTags: ["div", "img"],
allowedAttributes: { img: ["src"] },
nonTextTags: ["script", "style", "textarea", "option", "noscript"],
});
// => '<div></div><img src="http://evil.test/t.gif" />'Chrome, ante la misma entrada, no procesa ningún <img>; toda la carga útil es texto sin formato dentro del <noscript> no cerrado. Verificado con Playwright, srcdoc dentro de un iframe para que el indicador de scripting esté activo.
Una variante de <![CDATA[ oculta la etiqueta de apertura por completo al analizador y produce el mismo efecto:
<p>Hi</p><![CDATA[ x > <noscript>]]><a href="…">Reset your password</a><img src="…beacon.gif"></noscript>htmlparser2 ejecuta un token CDATA hasta ]]>; Chrome finaliza un comentario ficticio (bogus comment) en el primer >, por lo que el <noscript> posterior es real para el navegador e invisible para el analizador.
Dónde se ubica el comportamiento
index.js:
:154—nonTextTagsArray(la lista predeterminada,['script','style','textarea','option','xmp']).:638—onclosetag: function (name, isImplied)— recibe el indicador.:644—skipTextDepth--— decrementa sin consultarisImplied.
Solución sugerida
No finalizar una región de descarte ante un cierre implícito. htmlparser2 ya los distingue; el indicador se transfiere y se descarta. Algo similar a:
onclosetag: function (name, isImplied) {
if (skipText) {
if (isImplied) return; // an implied close must not end the region
skipTextDepth--;
…Qué hacer
Actualice sanitize-html a la versión 2.18.0 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | sanitize-html | < 2.18.0 | 2.18.0 |
Referencias
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-x3q4-9hxx-gx8m
- https://github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce
- https://github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/sanitize-html@2.18.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
sanitize-html- Publicada
- 20.10.2026
- Actualizado
- 20.10.2026 21:19
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-x3q4-9hxx-gx8m - CC BY 4.0
Historial de vulnerabilidades: sanitize-html
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 15
- Primera → última
- 11.2018 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 12
- Baja 1
Divulgaciones por año
- 2018: 2
- 2019: 0
- 2020: 1
- 2021: 2
- 2022: 1
- 2023: 0
- 2024: 1
- 2025: 1
- 2026: 7
-
ApostropheCMS sanitize-html: la región de descarte de nonTextTags finaliza antes de tiempo con un cierre implícito, permitiendo procesar el contenido de <noscript> esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.