Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-10884

Опубликовано: 15 апр. 2026
Источник: fstec
CVSS3: 6.1
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость инструментальной библиотеки преобразования каскадных таблиц стилей PostCSS связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки (XSS)

Вендор

АО «СберТех»
Сообщество свободного программного обеспечения

Наименование ПО

Platform V IAM SE
PostCSS

Версия ПО

до 2.3.1 (Platform V IAM SE)
до 8.5.10 (PostCSS)

Тип ПО

Прикладное ПО информационных систем
Микропрограммный код

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/postcss/postcss/security/advisories/GHSA-qx2v-qp2m-jg93
https://github.com/postcss/postcss/releases/tag/8.5.10
Для Platform V IAM SE:
Обновление до версии Platform V IAM SE 2.3.1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 11%
0.00205
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
3 месяца назад

PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Versions prior to 8.5.10 do not escape `</style>` sequences when stringifying CSS ASTs. When user-submitted CSS is parsed and re-stringified for embedding in HTML `<style>` tags, `</style>` in CSS values breaks out of the style context, enabling XSS. Version 8.5.10 fixes the issue.

CVSS3: 6.1
redhat
3 месяца назад

PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Versions prior to 8.5.10 do not escape `</style>` sequences when stringifying CSS ASTs. When user-submitted CSS is parsed and re-stringified for embedding in HTML `<style>` tags, `</style>` in CSS values breaks out of the style context, enabling XSS. Version 8.5.10 fixes the issue.

CVSS3: 6.1
nvd
3 месяца назад

PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Versions prior to 8.5.10 do not escape `</style>` sequences when stringifying CSS ASTs. When user-submitted CSS is parsed and re-stringified for embedding in HTML `<style>` tags, `</style>` in CSS values breaks out of the style context, enabling XSS. Version 8.5.10 fixes the issue.

msrc
3 месяца назад

PostCSS has XSS via Unescaped </style> in its CSS Stringify Output

CVSS3: 6.1
debian
3 месяца назад

PostCSS takes a CSS file and provides an API to analyze and modify its ...

EPSS

Процентиль: 11%
0.00205
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2