sanitize-html is vulnerable to XSS through incomprehensive sanitization

TRUNG BÌNH 6.1CVE-2019-25225 · GHSA-qhxp-v273-g94h · Công bố 08/09/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2019-25225 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng sanitize-html (apostrophecms), sanitize-html.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.27%, cao hơn 19.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0.0, 2.0.0-beta hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
sanitize-html apostrophecms	`< 2.0.0`	`2.0.0`
sanitize-html npm	`< 2.0.0-beta`	`2.0.0-beta`

Mô tả

sanitize-html prior to version 2.0.0-beta is vulnerable to Cross-site Scripting (XSS). The sanitizeHtml() function in index.js does not sanitize content when using the custom transformTags option, which is intended to convert attribute values into text. As a result, malicious input can be transformed into executable code.

Mô tả của NVD

`sanitize-html` prior to version 2.0.0-beta is vulnerable to Cross-site Scripting (XSS). The `sanitizeHtml()` function in `index.js` does not sanitize content when using the custom `transformTags` option, which is intended to convert attribute values into text. As a result, malicious input can be transformed into executable code.