CVE-2026-5388: Sanering omgås i justhtml før 1.15.0
Biblioteket justhtml før version 1.15.0 kan omgås ved sanering af HTML, så angribere kan injicere skadelig JavaScript. Opdatér til 1.15.0.
Hvad er det?
CVE-2026-5388 er en sårbarhed i justhtml, et softwarebibliotek som webapplikationer bruger til at rense brugerinput for farlig HTML og JavaScript, før indholdet vises til andre brugere. Fejlen skyldes CWE-20, mangelfuld inputvalidering, i flere dele af biblioteket: hjælpefunktioner til at rense URL-adresser, HTML-serialisering, Markdown-håndtering og brugerdefinerede saneringsregler. Angribere kan omgå saneringen med kodede javascript:-links, relative URL-adresser med omvendt skråstreg, ugyldige element- eller attributnavne, HTML-kommentarer eller genindsat via Markdown. Standardopsætningen med sanitize=True er stort set ikke berørt. Problemerne rammer primært applikationer, der bruger html_passthrough=True, brugerdefinerede saneringsregler eller opbygger HTML programmatisk.
Hvem rammer det?
Det rammer virksomheder, der har udviklet webapplikationer, CMS-løsninger, kommentarfelter eller Markdown-visning i Python med justhtml som afhængighed, i version ældre end 1.15.0. Risikoen er størst, hvis applikationen bruger html_passthrough=True, egne saneringsregler eller opbygger HTML-elementer programmatisk i stedet for at bruge standardopsætningen. Danske virksomheder, der har fået udviklet skræddersyet webapplikation eller intranet af et bureau, kan være berørt uden selv at vide det, hvis justhtml ligger som en underliggende komponent.
Hvad kan ske?
En angriber kan indsætte JavaScript, som bliver gemt eller vist til andre brugere, kendt som cross-site scripting. I praksis kan angriberen stjæle sessioner fra medarbejdere eller kunder, overtage login til admin-panelet, ændre indhold på hjemmesiden eller omdirigere besøgende til falske sider. Da sårbarheden ikke kræver login eller brugerhandling for at blive udnyttet i selve saneringen, kan et enkelt indsendt formular- eller kommentarfelt være nok til at plante skadelig kode.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen rettigheder og ingen handling fra en bruger for at gennemføre selve saneringsomgåelsen, og det kan udføres over netværket. Den reelle risiko afhænger dog af, hvordan justhtml er konfigureret: standardopsætningen (sanitize=True) er kun i mindre grad berørt, mens brugerdefinerede regler, html_passthrough=True og programmatisk HTML-opbygning er hårdt ramt. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen.
Hvad gør jeg nu?
Gennemgå jeres brug af justhtml, og luk hullet med en opdatering.
- Opdatér justhtml til version 1.15.0 eller nyere i alle applikationer, der bruger biblioteket.
- Gennemgå jeres kodebase for brug af html_passthrough=True, brugerdefinerede saneringsregler eller programmatisk HTML-opbygning, og test disse dele efter opdateringen.
- Hvis I ikke selv kan opdatere med det samme, begræns adgangen til de sårbare funktioner, indtil opdateringen er gennemført.
- Kontrollér logs for uventede tegnkombinationer i formularer, kommentarer eller Markdown-felter, der kan indikere forsøg på udnyttelse.
- Informér jeres udviklingsleverandør eller bureau, hvis I ikke selv har adgang til kildekoden.
- Hent hjælp udefra, hvis I ikke ved, om justhtml er en del af jeres system, eller hvis I ikke selv har ressourcer til at gennemgå koden.
Opdatér inden for 7 dage
Vi anbefaler, at I opdaterer justhtml til version 1.15.0 så hurtigt som muligt, især hvis jeres applikation bruger html_passthrough=True eller brugerdefinerede saneringsregler. Bruger I kun standardopsætningen med sanitize=True, er risikoen mindre akut, men bør stadig rettes ved næste planlagte opdatering. Det er kun i orden at vente, hvis I har verificeret, at jeres konfiguration ikke bruger de berørte funktioner.
Tidslinje
Konkrete eksempler
Kommentarfelt med Markdown-understøttelse
En dansk virksomhed har et kundeforum bygget i Python, hvor kommentarer renders med justhtml og html_passthrough=True for at understøtte Markdown-formatering. En angriber indsender en kommentar med skjult JavaScript, som genindsættes via en -teknik og omgår saneringen. Koden køres, når andre kunder eller en administrator åbner tråden, og angriberen kan stjæle administratorens session.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger justhtml?
Tjek jeres applikations afhængighedsliste, for eksempel requirements.txt eller lignende, for justhtml. Er I ikke selv udviklere, spørg jeres leverandør eller bureau, om biblioteket er en del af den løsning, I har fået bygget.
Er vi ramt, hvis vi bruger standardindstillingerne?
Standardopsætningen med sanitize=True er kun i mindre grad berørt af denne sårbarhed. I bør stadig opdatere, men risikoen er lavere end for applikationer, der bruger html_passthrough=True eller egne saneringsregler.
Kan vi vente til weekenden med at opdatere?
Ja, hvis jeres applikation kun bruger standardopsætningen. Bruger I html_passthrough=True eller brugerdefinerede regler, bør opdateringen prioriteres inden for de næste dage, da risikoen for injektion af skadelig kode er væsentligt højere.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at sårbarheden er udnyttet, og at persondata er blevet kompromitteret. Selve opdagelsen af sårbarheden udløser ikke i sig selv en anmeldepligt.
Hvordan tester vi, om vores opsætning er sårbar?
Gennemgå kildekoden for brug af html_passthrough=True, egne saneringsregler eller programmatisk HTML-opbygning med justhtml’s API. Findes disse mønstre, bør I teste med kendte omgåelsestekniker efter opdateringen, gerne med hjælp fra en sikkerhedsrådgiver.
Hvad koster det at lade være med at opdatere?
Bliver sårbarheden udnyttet, risikerer I stjålne brugersessioner, kompromitteret admin-adgang og ændret indhold på jeres hjemmeside, hvilket kan medføre driftsstop og tab af kundetillid.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
justhtml before 1.15.0 contains multiple security issues in URL sanitization helpers (clean_url_value/clean_url_in_js_string), HTML serialization, Markdown passthrough (html_passthrough=True), and several custom sanitization-policy edge cases. Depending on configuration, an attacker can bypass sanitization to inject active HTML and JavaScript — for example via encoded javascript: URLs, backslash-based relative URLs resolved as remote hosts, markup-breaking programmatic element/attribute names or HTML comments, raw reintroduction through Markdown passthrough, or preserved // tags in custom policies. Most custom-policy issues do not affect the default sanitize=True configuration; they primarily affect helper APIs, programmatic DOM construction, html_passthrough=True, and custom policies/transform pipelines.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.