ammonia : XSS conditionnelle via `annotation-xml` MathML

Veille sécuritéFrontend

P4Moyenne

Une faille XSS basée sur une confusion de parsing entre HTML et MathML peut permettre l’injection de JavaScript si certaines balises sont autorisées. Le risque est limité aux configurations qui autorisent à la fois `math`, `annotation-xml` et une balise raw text, tout en supprimant l’attribut `encoding`.

IdentifiantCVE-2026-63430

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.3.2, 4.0.2, 4.1.3

Source : GHSA-9jh8-v38h-cvhr — ammonia

Analyse technique

Le filtrage d’espace de noms intervient avant la suppression de `encoding`; après cette suppression, le contenu peut être interprété comme MathML et exploiter les différences de parsing. Les balises raw text indiquées par l’avis sont nécessaires à la construction du contenu malveillant.

Impact, versions et correctif

Événement datéAvis publié et mis à jour le 2026-10-22; retenu comme nouvel avis de sécurité dans la période demandée.

ImpactExécution de JavaScript dans le navigateur d’un utilisateur lorsque la configuration vulnérable est utilisée.

Versions affectées< 3.3.2; >= 4.0.0 et < 4.0.2; >= 4.1.0 et < 4.1.3

Version corrigée3.3.2, 4.0.2, 4.1.3

ContournementRetirer `annotation-xml` et ses enfants avec `add_clean_content_tags("annotation-xml")`.

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,55% · percentile 45,5%

Publication2026-10-22T14:06:10Z

Mise à jour2026-10-22T14:06:14Z

Détection / vérification

Vérifier si ammonia est utilisé avec `math` et `annotation-xml` autorisés, l’attribut `encoding` interdit et au moins une balise HTML de type raw text autorisée.

Action recommandée

Mettre à niveau vers ammonia 3.3.2, 4.0.2 ou 4.1.3 selon la branche utilisée; à défaut, appliquer le contournement indiqué.

Sources

GHSA-9jh8-v38h-cvhr — ammonia

Priorisation DFS : P4 · 1 source(s).