GitHub 安全公告库 (GHSA)·2026-10-21 02:15· 2 天前AI 评分22

ApostropheCMS 不完整修复 CVE-2026-53606：meta refresh 的 content 仍可携带 javascript: / data: URL

ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs

AI 导读

CVE-2026-53606 的修复不完整：sanitize-html 2.17.7 中，meta http-equiv=refresh 的 content 内嵌 URL 未经过 naughtyHref() 校验，仍可保留 javascript:、data: 及任意 https: 目标。