CVE-2026-116695
CVE-2026-116695 · Crass: Incorrect tokenization of bad URLs enables CSS sanitizer bypass
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Crass is a Ruby CSS parser that is compliant with the CSS Syntax Level 3 specification. Prior to 1.0.8, Crass incorrectly treats a closing parenthesis after an escaped backslash as escaped while consuming the remnants of a bad URL. Crass therefore keeps declarations, style rules, or at-rules inside a bad URL token even though a browser treats them as live CSS. A sanitizer that parses untrusted CSS with Crass and reserializes it without rejecting the bad URL can allow CSS used for UI redress, external resource loading, or CSS-based data exfiltration, but this issue does not enable script execution in modern browsers. This issue is fixed in version 1.0.8.
CVSS 5.3 · Mittel · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
crass
- Softwareversionen
- < 1.0.8: Betroffen
Keine Korrektur veröffentlicht
ruby-crass Debian:12
- Softwareversionen
- 1.0.2-3
- 1.0.6-1
- 1.0.7-1
- 1.0.8-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Debian:13
- Softwareversionen
- 1.0.6-1
- 1.0.7-1
- 1.0.8-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Debian:14
- Softwareversionen
- 1.0.6-1
- 1.0.7-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.0.8-1
Auf 1.0.8-1 aktualisieren
ruby-crass Ubuntu:16.04:LTS
- Softwareversionen
- 1.0.2-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:18.04:LTS
- Softwareversionen
- 1.0.2-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:20.04:LTS
- Softwareversionen
- 1.0.2-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:22.04:LTS
- Softwareversionen
- 1.0.2-2.1
- 1.0.2-3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:24.04:LTS
- Softwareversionen
- 1.0.2-3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:26.10
- Softwareversionen
- 1.0.6-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
ruby-crass Ubuntu:26.04:LTS
- Softwareversionen
- 1.0.6-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht