CVE-2026-116695 — Contournement d’assainisseur CSS dans Crass

Veille sécuritéBackend & données

P4Moyenne

Une erreur d’analyse de Crass peut faire conserver du CSS actif à l’intérieur d’un jeton d’URL invalide, ce qui peut contourner un assainisseur CSS qui retransmet le contenu sans rejeter cette URL. Le risque concerne notamment l’altération de l’interface, le chargement de ressources externes ou l’exfiltration de données via CSS; cette vulnérabilité ne permet pas l’exécution de scripts dans les navigateurs modernes.

IdentifiantCVE-2026-116695

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.0.8

Source : Fiche NVD CVE-2026-116695

Analyse technique

Lors du traitement des restes d’une URL mal formée, Crass traite incorrectement une parenthèse fermante après une barre oblique inverse échappée. Un parseur de navigateur peut alors interpréter comme du CSS actif du contenu que Crass a gardé dans le jeton d’URL.

Impact, versions et correctif

Événement datéNouvelle publication NVD datée du 2026-10-27T21:18:05Z, soit le 2026-10-27T23:18:05+02:00 dans la période demandée. La mise à jour ultérieure du 2026-10-28 est hors période; l’événement retenu est la publication initiale.

ImpactContournement possible de l’assainissement CSS, avec risques de redressage de l’interface, de chargement de ressources externes ou d’exfiltration de données via CSS.

Versions affectéesCrass antérieur à 1.0.8

Version corrigée1.0.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Publication2026-10-27T23:18:05+02:00

Action recommandée

Mettre à niveau Crass vers la version 1.0.8 ou une version ultérieure; vérifier que les assainisseurs CSS rejettent les URL mal formées au lieu de retransmettre le CSS associé.

Sources

Fiche NVD CVE-2026-116695

Priorisation DFS : P4 · 1 source(s).