GitHub 安全公告库 (GHSA)·· 6 小时前AI 评分36
odf-kit 的 odsToHtml() 存在 HTML 注入导致 XSS，未转义的 style 属性值可被利用
odf-kit has HTML injection leading to XSS in odsToHtml() via unescaped style attribute values
AI 导读
odf-kit 的 ODS 转 HTML 渲染器 odsToHtml() 未对 style 属性值做 HTML 转义，攻击者可在构造的 .ods 文件中用双引号突破属性边界，注入任意 HTML 并执行脚本（XSS）。
来源：GitHub 安全公告库 (GHSA) · github.com