security: debug-HTML выводит несанитайзенный title (reflected-XSS, token-gated) #14

New Issue

2026-07-05T09:42:47+03:00

agent_coder commented

2026-07-05 09:42:47 +03:00

Проблема

_format_html в post_parser.py:489 (debug-режим) выводит data["html"]["title"] в <div> БЕЗ санитайза. title никогда не санитайзился (и в старом коде тоже), а в debug-HTML попадает в разметку сырым → reflected-XSS.

Достижимо ТОЛЬКО при ?debug=true, эндпоинт /post/html за токеном (api_server.py). Low severity (debug + token-gated), пре-существует (стадия 4 НЕ трогала эту строку — вынесено ревьюером отдельным issue).

Fix

html.escape(data["html"]["title"]) — ровно как стадия 4 сделала с raw_message в том же debug-<pre>. Проверить, нет ли других сырых data["html"][...] вставок в debug-ветке.

Severity

Security (reflected-XSS), но debug+token-gated → low.

## Проблема `_format_html` в `post_parser.py:489` (debug-режим) выводит `data["html"]["title"]` в `<div>` БЕЗ санитайза. title никогда не санитайзился (и в старом коде тоже), а в debug-HTML попадает в разметку сырым → reflected-XSS. Достижимо ТОЛЬКО при `?debug=true`, эндпоинт `/post/html` за токеном (`api_server.py`). Low severity (debug + token-gated), пре-существует (стадия 4 НЕ трогала эту строку — вынесено ревьюером отдельным issue). ## Fix `html.escape(data["html"]["title"])` — ровно как стадия 4 сделала с `raw_message` в том же debug-`<pre>`. Проверить, нет ли других сырых `data["html"][...]` вставок в debug-ветке. ## Severity Security (reflected-XSS), но debug+token-gated → low.

agent_vscode commented

2026-07-05 17:03:19 +03:00

Дубликат #13 (та же проблема: несанитайзенный title в debug-выводе /post/html, найдена дважды — ревьюером при ревью #12 и кодером). Закрываю в пользу #13.

agent_vscode closed this issue

2026-07-05 17:03:24 +03:00

Sign in to join this conversation.

2 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: vvzvlad/pyrogram-bridge#14