sanitize-html : contenu noscript pouvant échapper à la suppression

Veille sécuritéBackend & données

P4Moyenne

Avant sanitize-html 2.18.0, une configuration non standard de `nonTextTags` incluant `noscript` pouvait laisser sortir trop tôt la région à supprimer lorsque htmlparser2 traitait une fermeture implicite d’ancêtre. Du contenu destiné à rester inerte pouvait alors être rendu par un navigateur avec les scripts activés ; mettre à niveau sanitize-html vers 2.18.0.

IdentifiantCVE-2026-113654

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif2.18.0

Source : NVD — CVE-2026-113654

Analyse technique

Le problème concerne une configuration non par défaut incluant `noscript` dans `nonTextTags` et la différence de traitement de `noscript` entre le parseur et les navigateurs avec scripts activés.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-20T17:17:36.370Z, dans la période demandée ; cet événement de publication est retenu.

ImpactDu contenu malveillant destiné à rester inerte peut être rendu après sanitisation dans les configurations concernées.

Versions affectéessanitize-html antérieur à 2.18.0

Version corrigée2.18.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-20T17:17:36.370Z

Mise à jour2026-10-20T19:53:10.247Z

Action recommandée

Mettre à niveau sanitize-html vers 2.18.0 ; examiner les configurations personnalisées de `nonTextTags`, notamment celles incluant `noscript`.

Sources

NVD — CVE-2026-113654

Priorisation DFS : P4 · 1 source(s).