„`html
Zusammenfassung
CVE-2026-8445 beschreibt eine kritische Schwachstelle in justhtml bis Version 1.11.0, die durch unzureichende HTML-Escaping bei der Markdown-Konvertierung entsteht. Die Funktion to_markdown() escaped nicht ausreichend HTML-signifikante Zeichen wie Winkelklammern (< und >). Dies ermöglicht einen Sanitizer-Bypass und potenzielle Cross-Site Scripting (XSS) Angriffe, wenn die Markdown-Ausgabe anschließend gerendert wird.
Betroffene Systeme
Folgende Versionen sind betroffen:
- justhtml <= 1.11.0
Die Schwachstelle wurde in Version 1.12.0 behoben. Alle Systeme, die justhtml für die HTML-zu-Markdown-Konvertierung einsetzen, müssen aktualisiert werden.
Technische Details
Die Schwachstelle liegt im unzureichenden Character-Escaping der to_markdown()-Funktion. Während eine begrenzte Menge von Markdown-Metazeichen escaped wird, bleiben HTML-kritische Zeichen wie < und > unverändert. Dies betrifft insbesondere:
- Entity-dekodierter Text (z.B. <script>)
- Text aus RCDATA/RAWTEXT-Elementen: <title>, <textarea>, <noscript>, <plaintext>
Eingaben, die in to_html() sicher sind, werden in der Markdown-Ausgabe als rohes HTML emittiert, was zu XSS-Vulnerabilities führt.
Empfohlene Massnahmen
Sofortig:
- Update auf justhtml Version 1.12.0 oder höher durchführen
- Alle Systeme mit to_markdown() Funktionalität identifizieren und patchen
- Code-Review für verarbeitete Markdown-Ausgaben durchführen
Mittel- bis langfristig:
- Input-Validation vor Markdown-Konvertierung implementieren
- Output-Escaping auf Renderer-Seite verstärken
- Security-Tests für HTML-Escaping etablieren
Bewertung
CVSS 9.8 (Critical): Die Schwachstelle bietet hohen Exploitability über das Netzwerk ohne Authentifizierung und ermöglicht vollständige Systemkompromittierung durch XSS-Angriffe. Die Priorisierung dieser Sicherheitsupdates ist essentiell.
„`