' преждевременно закрывает тег.","datePublished":"2026-08-11T14:45:12.907Z","dateModified":"2026-08-11T18:26:38.644Z","mainEntityOfPage":"https://cve.futuretools.ru/cve/CVE-2026-72925#webpage","author":{"@id":"https://cve.futuretools.ru/#organization"},"publisher":{"@id":"https://cve.futuretools.ru/#organization"},"threatLevel":"Medium","cvssScore":6.1,"cvssVector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N","inLanguage":"ru-RU","articleSection":"Cybersecurity Threat Intelligence","keywords":"CVE-2026-72925, CVE, CVSS, Vulnerability, кибербезопасность","remediation":"Обновите @swc/html до версии 1.15.47-nightly-20260729.1 (или выше) и пакет swc_html_minifier до версии 59.0.0 или новее.","sameAs":["https://nvd.nist.gov/vuln/detail/CVE-2026-72925","https://www.cve.org/CVERecord?id=CVE-2026-72925"],"about":[{"@type":"SoftwareApplication","name":"swc","applicationCategory":"Security Vulnerability Target","operatingSystem":"swc-project"},{"@type":"SoftwareApplication","name":"html","applicationCategory":"Security Vulnerability Target","operatingSystem":"@swc"},{"@type":"SoftwareApplication","name":"swc_html_minifier","applicationCategory":"Security Vulnerability Target","operatingSystem":"swc-project"},{"@type":"SoftwareApplication","name":"","applicationCategory":"Security Vulnerability Target","operatingSystem":"All Platforms"},{"@type":"SoftwareApplication","name":"","applicationCategory":"Security Vulnerability Target","operatingSystem":"All Platforms"}]}]}

CVE-2026-72925

SWC HTML minifier may allow script element breakout when minifying embedded JSON

CVSS 3.1Medium

6.1/ 10.0

Опубликовано

11 августа 2026 г.

Обновлено

11 августа 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.15.47, 1.15.47-nightly-20260729.1, 59.0.0

Обновите @swc/html до версии 1.15.47-nightly-20260729.1 (или выше) и пакет swc_html_minifier до версии 59.0.0 или новее.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Минификатор SWC HTML допускает выход из тега script при сжатии встроенного JSON. Из-за отсутствия экранирования символа '<' злоумышленник может внедрить исполняемый HTML/JS в исходный контекст страницы.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция minifyJson в crates/swc_html_minifier/src/lib.rs парсит и сериализует JSON внутри script-элементов с типами application/json и application/ld+json без вызова escape_json_for_html_script. Последовательность '</script>' преждевременно закрывает тег.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Межсайтовый скриптинг (XSS): выполнение произвольного JavaScript-кода в контексте origin сгенерированного документа.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

swc-projectswc

все ранние➔Fix: 1.15.47

@swchtml

все ранние➔Fix: 1.15.47-nightly-20260729.1

swc-projectswc_html_minifier

все ранние➔Fix: 59.0.0

——

>= 0➔Fix: 1.15.47-nightly-20260729.1

——

>= 0➔Fix: 59.0.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-72925: SWC HTML minifier may allow script element breakout when minifying embedded JSON. URL: https://cve.futuretools.ru/cve/CVE-2026-72925

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_72925,
  title = {{CVE-2026-72925: SWC HTML minifier may allow script element breakout when minifying embedded JSON}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-72925}},
  note = {Оперативный инженерный анализ киберугроз}
}