Две уязвимости в ammonia: XSS и некорректное экранирование CSS

В крейте ammonia (очистка HTML) выданы два бюллетеня, хотя сообщено о проблемах ещё в 2021 году. Исправлено в версиях 4.2.3 и 4.1.7.

XSS через SVG-анимацию (RUSTSEC-2021-0158)

Нейтрализация тегов animateMotion, animateTransform и animateColor была неполной, что позволяло провести XSS (format-injection).

Экранирование CSS url("") (RUSTSEC-2021-0157)

В некоторых случаях кавычки в функциях CSS url("") экранировались некорректно, что давало внедрение через стили (format-injection, кликджекинг).

Что делать

Обновиться до ammonia 4.2.3 (или 4.1.7 в ветке 4.1).

Оригинал

ammonia: XSS via SVG animate tags; Incorrect escaping for url("") in CSS style attributes.