Twee Stored XSS-kwetsbaarheden verholpen in CMS-framework code16/Sharp

Wat is er gebeurd

Er zijn twee stored XSS-kwetsbaarheden ontdekt in het `SharpEditorFormField`-component van code16/Sharp, de rich-text editor. CVE-2026-61825 betreft content met een `data-html-content`-attribuut die door een aanvaller kan worden gemanipuleerd om de HTML-sanitization te omzeilen, waardoor uitvoerbare markup bewaard blijft en wordt uitgevoerd zodra een andere gebruiker de opgeslagen content bekijkt. CVE-2026-61823 betreft het feit dat de HTML-sanitizer het `srcdoc`-attribuut op iframe-elementen toestaat; hoewel de markup binnen `srcdoc` tijdens sanitization HTML-encoded wordt, decoderen browsers de attribute-entities voordat het iframe-document wordt geïnterpreteerd. Hierdoor kan een geauthenticeerde gebruiker met rechten om een Editor-veld te bewerken JavaScript opslaan dat wordt uitgevoerd zodra een andere gebruiker de content bekijkt.

Technische oorzaak

Beide kwetsbaarheden vallen onder CWE-79 (onjuiste neutralisatie van invoer tijdens het genereren van webpagina's). CVE-2026-61825 komt voort uit een sanitizer-bypass specifiek voor het `data-html-content`-attribuut, waardoor uitvoerbare markup ondanks sanitization behouden kan blijven. CVE-2026-61823 komt voort uit het feit dat de allowlist van de sanitizer het `srcdoc`-attribuut op iframes toestaat; browsers decoderen HTML-entities binnen dat attribuut voordat ze het als document renderen, waardoor de encoding-gebaseerde beveiliging wordt omzeild.

Waarom dit belangrijk is

CVE-2026-61825 heeft een CVSS-score van 8,7, wat een scope-wijziging weerspiegelt (de kwetsbaarheid kan gevolgen hebben buiten de kwetsbare component zelf) met een hoge impact op vertrouwelijkheid en integriteit. CVE-2026-61823 heeft een CVSS-score van 7,3, eveneens met een hoge impact op vertrouwelijkheid en integriteit, maar zonder scope-wijziging. Het advies bij CVE-2026-61823 vermeldt dat succesvolle exploitatie kan leiden tot sessiekaping, ongeautoriseerde acties, accountovername, escalatie van rechten of het lekken van administratieve gegevens, wanneer een slachtoffer met verhoogde rechten de kwaadaardige opgeslagen content bekijkt.

Wie wordt getroffen

Elke applicatie die code16/sharp-versies vóór 9.22.5 gebruikt en vertrouwt op het `SharpEditorFormField`-component van de rich-text editor, wordt getroffen. Dit geldt ook voor applicaties die bewust `SharpFormEditorField::RAW_HTML` inschakelen; de leverancier geeft aan dat deze content ook na het patchen zelfstandig gesaniteerd moet blijven worden.

Getroffen versies

code16/sharp-versies vóór 9.22.5 zijn getroffen door beide kwetsbaarheden. Versie 9.22.5 bevat de fix voor zowel CVE-2026-61825 als CVE-2026-61823.

Fixes en mitigatie

De leverancier heeft versie 9.22.5 uitgebracht, die CVE-2026-61825 patcht en, voor CVE-2026-61823, het `srcdoc`-attribuut verwijdert uit de toegestane iframe-attributen. Als tijdelijke workaround voor applicaties die niet direct kunnen updaten, adviseert de leverancier om alle editorcontent te saniteren vóór opslag of weergave (bijvoorbeeld met Symfony HtmlSanitizer), RAW_HTML-functionaliteit uit te schakelen waar deze niet nodig is, en handmatig alle `srcdoc`-attributen van iframes te verwijderen uit opgeslagen Editor-veldcontent.

Aanbevolen actie

Sitebeheerders en ontwikkelaars die code16/sharp gebruiken, wordt aangeraden zo snel mogelijk te updaten naar versie 9.22.5. Als direct updaten niet mogelijk is, pas dan de gedocumenteerde workarounds toe: saniteer alle rich-text editor-content server-side, schakel RAW_HTML uit waar dit niet strikt noodzakelijk is, en verwijder `srcdoc`-attributen van iframes uit opgeslagen content.