CVE-2026-116695
CVE-2026-116695 · Crass: Incorrect tokenization of bad URLs enables CSS sanitizer bypass
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Crass is a Ruby CSS parser that is compliant with the CSS Syntax Level 3 specification. Prior to 1.0.8, Crass incorrectly treats a closing parenthesis after an escaped backslash as escaped while consuming the remnants of a bad URL. Crass therefore keeps declarations, style rules, or at-rules inside a bad URL token even though a browser treats them as live CSS. A sanitizer that parses untrusted CSS with Crass and reserializes it without rejecting the bad URL can allow CSS used for UI redress, external resource loading, or CSS-based data exfiltration, but this issue does not enable script execution in modern browsers. This issue is fixed in version 1.0.8.
CVSS 5.3 · Media · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
crass
- Versiones
- < 1.0.8: Afectada
Sin corrección publicada
ruby-crass Debian:12
- Versiones
- 1.0.2-3
- 1.0.6-1
- 1.0.7-1
- 1.0.8-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Debian:13
- Versiones
- 1.0.6-1
- 1.0.7-1
- 1.0.8-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Debian:14
- Versiones
- 1.0.6-1
- 1.0.7-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.0.8-1
Actualiza a 1.0.8-1
ruby-crass Ubuntu:16.04:LTS
- Versiones
- 1.0.2-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:18.04:LTS
- Versiones
- 1.0.2-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:20.04:LTS
- Versiones
- 1.0.2-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:22.04:LTS
- Versiones
- 1.0.2-2.1
- 1.0.2-3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:24.04:LTS
- Versiones
- 1.0.2-3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:26.10
- Versiones
- 1.0.6-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
ruby-crass Ubuntu:26.04:LTS
- Versiones
- 1.0.6-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada