sanitize-html 2.18.0 被曝 iframe 递归拒绝服务漏洞

GitHub 安全公告库（GHSA）披露，sanitize-html 2.18.0 在默认配置下存在拒绝服务漏洞：当 iframe 标签不被允许、disallowedTagsMode 为默认的 'discard' 时，其原始文本会被递归调用 sanitizeHtml 重新净化，形成无界递归，几千字节的未闭合 iframe 标签即可触发栈溢出（RangeError: Maximum call stack size exceeded）。 GHSA 称，2.18.0（当前 latest）及撰写时的 main 分支受影响，2.17.7 和 2.17.4 经相同输入测试不受影响。GHSA 还指出，嵌套净化未携带当前深度，导致 nestingLimit 无法约束整体输出；它只描述了可同时消除两个问题的方向，即限制递归或改为非递归处理回退内容，并让 nestingLimit 覆盖嵌套净化，并非已发布的补丁。 此前 Red Hat CVE 数据库已收录该问题（CVE-2026-113650），但未给出受影响版本区间和修复版本；GHSA 的披露补充了受影响版本和触发条件。

AI 根据报道生成 · 22 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。