html_sanitize_ex HTML5 scrubber keeps attacker-supplied form-association attributes, allowing form hijacking

URL Redirection to Untrusted Site ('Open Redirect') vulnerability in the HTML5 scrubber in rrrene html_sanitize_ex allows an unauthenticated remote attacker to retarget a form already on the rendering page and receive whatever the victim submits, including credentials, via the form and formaction attributes on an <input> element in sanitized HTML. HTML's form attribute associates an input with any form on the page by its id even when the input sits outside that form, and formaction on a submit control overrides the owning form's action. Neither attribute receives a scheme check, so an absolute cross-origin URL survives sanitizing. No script executes. The scrubber allows neither form nor button, so the attacker cannot introduce a form of their own and the rendering page must already contain a form carrying an id. This issue affects html_sanitize_ex: from 0.3.1 before 1.4.5 and from 1.5.0-rc.0 before 1.5.3.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 12 Aug 2026, published on 12 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

rrrene の html_sanitize_ex における HTML5 スクランバーの信頼されていないサイトへの URL リダイレクト（「オープンリダイレクト」）脆弱性は、認証されていないリモート攻撃者がレンダリングページ上に既に存在するフォームのターゲットを変更し、被害者が送信するすべてのもの（認証情報を含む）を受け取ることを可能にします。これは、サニタイズされた HTML の ＜input＞ 要素の form および formaction 属性を介して行われます。HTML の form 属性は、input がそのフォーム外にあってもページ上の任意のフォームの id と関連付けます。また、submit コントロールの formaction 属性は所有フォームの action を上書きします。どちらの属性もスキームの検査を受けないため、絶対的なクロスオリジン URL がサニタイズをすり抜けます。スクリプトは実行されません。スクランバーは form も button も許可していないため、攻撃者は独自のフォームを導入できず、レンダリングページは既に id を持つフォームを含んでいる必要があります。この問題は、html_sanitize_ex のバージョン 0.3.1 から 1.5.3 未満に影響を与えます。