В kuva непроверенные метки внедряют SVG-атрибуты, значения CSS и escape-последовательности терминала

В библиотеке графиков kuva непроверенные метки (labels) подставлялись в вывод без экранирования, что позволяло внедрять SVG-атрибуты, значения CSS и управляющие последовательности терминала. Бюллетень категории format-injection, выпущен 13 октября 2026 года.

Суть

kuva строит диаграммы (в том числе для веб-вывода и терминала). Данные, попадающие в метки, не экранировались: в SVG можно было добавить атрибуты или разметку (XSS), в CSS — произвольные значения, а в терминальном выводе — ANSI-последовательности (вплоть до подмены отображаемого текста).

Что делать

Исправлено в версии 0.4.1 (и 0.3.1 в ветке 0.3). При построении графиков из ненадёжных данных стоит обновиться и/или экранировать метки на своей стороне.

Оригинал

Untrusted labels can inject SVG attributes, CSS values, and terminal escape sequences.