Radda/TG_CVE huggingface dataset:
CVE-CVE-2024-32965 , выявленная вlobe-chat в версиях до 1.19.13, приводит кServer-Side Request Forgery (SSRF). Уязвимость обусловлена возможностью обхода механизмов валидации получаемых адресов с помощью определенных доменных имен, например, как127.0.0.1.xip.io(см.source code), что позволяло злоумышленнику осуществить подделку запросов и получить доступ, например, к хостам в внутренней сети. Висправлениииспользуемые механизмы проверки получаемого адреса на принадлежность к адресам внутренней сети были заменены на использование методаuseAgentиз библиотекиrequest-filtering-agent.
CVE-CVE-2024-10220 , выявленная вKubernetes kubelet в версиях до 1.28.12, приводит кPath Traversal. Уязвимость обусловлена отсутствием ограничения уровня вложенности каталогов при создании томаgitRepo(см.source code), что позволяло пользователю, имеющему возможность создатьpodи связать томgitRepo, выполнять произвольные команды за пределами границ контейнера. Висправлениизначениеsrc.Directoryпропускается через фильтрующую функциюfilepath.Clean()и контролируется на наличие символов"/"и"\\".
CVE-CVE-2024-52810 , обнаруженная вintlify/shared в версиях с 9.7.0 по 10.0.4, приводит кPrototype Pollution. Проблема заключалась в отсутствии контроля за свойством"__proto__"при копировании объектов с помощью функцииdeepcopy()(см.source code), что позволяло злоумышленнику загрязнить прототип. Висправлениив исправлении было добавлено условие, которое позволяет отслеживать появление свойства"__proto__"при обработке.
CVE-CVE-2024-42327 , обнаруженная вZabbix в версиях с 6.0.0 до 6.0.31, приводит кSQL-Injection. Проблема заключалась в возможности пользователя без прав администратора внедрить произвольный SQL-код и выполнить его, используя общедоступный эндпоинт APIuser.get. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-54000 , обнаруженная вMobile Security Framework в версиях до 3.9.7, приводит кServer-Side Request Forgery (SSRF). Проблема заключалась в функции_check_url(), которая используется для проверки URL-адресов, и использованием опцииallow_redirectsсо значениемTrueв функцииrequests.get()(см.source code). Такая реализация позволяет злоумышленнику использовать редиректы для доступа к внутренним эндпоинтам приложения. Висправлениизначение опцииallow_redirectsбыло заменено наFalse, также был добавлен дополнительный контроль кода ответа302после запроса.
CVE-CVE-2024-36623 , обнаруженная вmoby в версиях до 26.0.0, приводит кRace Conditions. Проблема заключалась в возможности доступа нескольких потоков к ресурсам в процессе операций записи (см.source code), что могло привести к повреждению, хранящихся данных приложения, или к отказу в обслуживании. Висправлениибыло добавлено взаимное исключение с помощью мьютексовmu.Lock()иmu.Unlock().
CVE-CVE-2024-53908 , выявленная вDjango в версиях до 5.1.4, с 5.0 до 5.0.10 и с 4.2 до 4.2.17, приводит кSQL-Injection. Уязвимость обусловлена попаданием пользовательских данных напрямую в SQL запросах через параметрlhs(см.source code), что позволяло злоумышленнику внедрить произвольный SQL код. Висправленииформирование SQL запроса стало выполняться с помощью параметризации, также была добавлена валидация входных параметров.
CVE-CVE-2024-53900 , выявленная вmongoose с 8.0.0-rc0 по 8.8.3, приводит кNoSQL-Injection. Уязвимость обусловлена отсутствием ограничений использования оператора$whereдля фильтрации при использовании функцииpopulate()(см.source code), что позволяло злоумышленнику внедрить произвольный JavaScript код через запрос. Висправлениибыло добавлено ограничение на использование оператора$whereс функциейpopulate().
CVE-CVE-2024-12209 , обнаруженная вплагине WordPress WP Umbrella в версиях до 2.17.1,приводит кLocal File Inclusion (LFI). Проблема заключалась в возможности неавторизованным злоумышленника получить доступ к произвольным файлам на хосте через параметрfilenameпри использованииactionumbrella-restore. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-21544 , обнаруженная вBrowsershot в версиях до 5.0.1, приводит кLocal File Inclusion. Проблема заключалась в обработке пользовательских данных в функцииsetUrl()без учета наличия специальных символов (см.source code), что позволяло обойти механизм безопасности и получить доступ к произвольным файлам на хосте. Висправленииперед проверкой была добавлена обработка пользовательского значения с помощью функцииtrim(), которая позволяет убрать специальные символы.
CVE-CVE-2024-55875 , выявленная вhttp4k в версиях до5.40.0.0, приводит кXML External Entity (XXE). Уязвимость обусловлена небезопасной конфигурацией обработчика XML (см.source code), что позволяло злоумышленнику внедрить произвольные сущности в обрабатываемый документ. Висправлениибыла добавлена конфигурация XML обработчика, в частностиXMLConstants.ACCESS_EXTERNAL_DTDиXMLConstants.ACCESS_EXTERNAL_SCHEMAс значениемFalse.
CVE-CVE-2024-11205 , выявленная в плагинеWPForms для WordPressс версии 1.8.4 по1.9.2.1включительно, приводит кMissing Authorization. Уязвимость заключается в отсутствии контроля прав пользователей в функцияхajax_single_payment_refund()иajax_single_payment_cancel()(см.source code), что позволяло злоумышленнику выполнять привилегированные действия с платежами. Висправлениидобавлены проверки прав доступа для текущего пользователя c помощью функцииwpforms_current_user_can().
CVE-CVE-2024-21542 , обнаруженная вluigi в версиях до 3.6.0, приводит кPath Traversal. Проблема заключалась в небезопасной обработке содержимого пользовательских архивов во время распаковки в функции_extract_packages_archive()(см.source code), что позволяло злоумышленнику, например, перезаписать произвольные файлы на хосте и добиться удаленного выполнения кода. Висправленииметод распаковки архивов был заменен на использование классаSafeExtractor, который содержит методы для безопасной обработки содержимого.
CVE-CVE-2024-53677 , обнаруженная вApache Struts в версиях с 2.0.0 до 6.4.0приводит кUnrestricted Upload of File with Dangerous Type. Проблема заключалась в возможности злоумышленника манипулировать параметрами при загрузке файлов, чтобы включить обход директорий и добиться, например, перезаписи произвольных файлов или удаленного выполнения кода. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2024-56331 , обнаруженная вUptime Kuma в версиях до 1.23.16, приводит кLocal File Inclusion (LFI). Уязвимость заключается в возможности доступа к файлам, используя протоколfile:///, в функцииcheck()классаRealBrowserMonitorType(см.source code), что позволяло злоумышленнику получить доступ к конфиденциальным локальным файлам на сервере. Висправлениибыла добавлена проверка в составе URL разрешенных протоколов (толькоhttpиhttps) .
CVE-CVE-2024-55953 , обнаруженная вDataEase в версиях до 1.18.27, приводит кSQL Injection. Уязвимость обусловлена попаданием пользовательских данных в функциюgetJdbc()без фильтрации (см.source code), что позволяло аутентифицированным пользователям читать и десериализовать произвольные файлы через соединениеJDBC. Висправлениипроверка параметров была заменена на проверку всей итоговой строки, которая используется для подключения.
CVE-CVE-2024-56145 , обнаруженная вCMS Craft в версиях до 3.9.14, 4.13.2 или 5.5.2, приводит кRemote Code Execution (RCE). Проблема заключалась управлении источниками конфигурационных параметров (см.source code), что давало возможность осуществлять удаленное выполнение кода, эксплуатируя параметр конфигурации PHPregister_argc_argv(включен по умолчанию). Висправлении, в функцииfindConfig()была изменена логика получения конфигурационных данных - в консольных приложениях теперь данные берутся из командной строки, а в других случаях из переменной окружения.
CVE-CVE-2024-38819 , обнаруженная вSpring-framework в версиях с 6.1.0 до 6.1.13, приводят кPath Traversal. Проблема заключалась в возможности выхода за пределы каталога через закодированные символы../в URL (см.source code), что позволяло злоумышленнику получить доступ к произвольным данным на хосте. Висправлениибыла скорректирована функцияnormalizePath(), которая перед проверкой наличия символов../дважды декодирует URL при наличии спецсимволов'%'с помощью функцииdecode().
CVE-CVE-2024-49194 , обнаруженная вDatabricks JDBC Driver в версиях до 2.6.40, приводит кRemote Code Execution (RCE). Уязвимость возникает из-за неправильной обработки параметраkrbJAASFileв драйвере, что позволяет злоумышленнику использовать этот параметр в URL для эксплуатации инъекции JNDI. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-21628 , обнаруженная вChatwoot в версиях до 3.16.0, приводит кSQL Injection. Уязвимость заключалась в попадании пользовательских конструкции SQL вquery_operatorиз составаconditionв методеperform()(см.source code), что давало возможность внедрения произвольного SQL кода любому аутентифицированному пользователю. Висправлениидобавлена функцияvalid_query_operator(), которая проверяет, чтоquery_operatorможет принимать только значенияANDилиOR.
CVE-CVE-2025-21609 , выявленная вSiYuan в версиях до 3.1.19, приводит кArbitrary File Deletion. Уязвимость обусловлена попаданием пользовательских путей к файлам в функциюParseJSONWithoutFix()через эндпоинт/api/history/getDocHistoryContent, в случае ошибки которой файл удаляется (см.source code), что давало возможность удаления произвольных файлов на хосте. Висправлениибыла добавлена проверка, что переданный путь находится в пределах рабочей области приложения, также была убрана функциональная возможность удаления файлов с помощьюos.RemoveAll().
CVE-CVE-2024-56800 , обнаруженная вFirecrawl в версиях до 1.1.1, приводит кServer-Side Request Forgery (SSRF).Уязвимость возникала из-за обработки получаемых значений IP-адресов в функцииscrapeURLWithFetch()без ограничений (см.source code), что приводило к возможности получить доступ к адресам из локальной сети.Висправлениибыла добавлена функцияmakeSecureDispatcher(), которая содержит проверки получаемых значений к локальным или зарезервированным адресам.
CVE-CVE-2024-56734 , обнаруженная вBetter Auth в версиях до v1.1.6, приводит кOpen Redirect. Уязвимость обусловлена возможностью внедрения значений URL-адресов в функциюcreateAuthMiddleware()через параметрcallbackURLэндпойнта/auth/verify-emailдля http-запросов кроме POST (см.source code). Висправлениибыла скорректирована функцияoriginCheckMiddleware()путем расширения набора методов http-запроса, что позволило обрабатывать значения параметраcallbackURLдля всех входящих http-запросов.
CVE-CVE-2024-50603 , обнаруженная вAviatrix Controller в версиях до 7.1.4191 и 7.2.4996, приводит кOS Command Injection.Проблема заключалась в неправильной фильтрации спецсимволов в параметрахcloud_typeиsrc_cloud_typeпри совершении действийlist_flightpath_destination_instancesиflightpath_connection_test, что позволяло неаутентифицированным пользователям удаленно выполнять произвольный код. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-0474 , обнаруженная вInvoice Ninja в версиях с 5.8.56 по 5.11.23, приводит кServer-Side Request Forgery (SSRF). Уязвимость обусловлена попаданием пользовательских значений в атрибуты при формировании HTML (см.source code), что приводило к возможности пользователю читать произвольные файлы и отправлять сетевые запросы. Висправлениидобавлена функцияcleanHtml(), которая проверяет содержимое атрибутов, удаляет атрибуты содержащие URL.
CVE-CVE-2025-23209 , обнаруженная вCMS Craft в версиях до 5.5.8 и 4.13.8, приводит кRemote Code Execution (RCE). Уязвимость обусловлена попаданием пользовательских значений путей к файлу для восстановления базы данных из резервной копии в методactionRestoreDb()(см.source code), что приводило к попаданию произвольного кода в функцию_executeDatabaseShellCommand()и его выполнению. Висправлениипоявилась валидация пути к резервной копии БД с помощьюFileHelper, направленная на проверку существования файла и его нахождения в разрешенной директории.
CVE-CVE-2024-53263 , выявленная вGit LFS в версиях до 3.6.1, приводит кCRLF Injection. Уязвимость обусловлена отсутствием проверки пользовательского ввода на содержание в нем символовCRLFв функцииbuffer()для командыgit-credential(см.source code), что позволяло злоумышленнику получить доступ к учетным данным других пользователей. Висправлениидобавлена проверка на наличие переносов строки(\n)в передаваемых данных и если такой символ найден, возвращается ошибка.
CVE-CVE-2025-23207 , выявленная вKaTeX в версиях до 0.16.21, приводит кCross-Site Scripting (XSS). Проблема заключалась в попадании пользовательских данных без ограничений в состав команды\htmlData, которая используется для добавления атрибутов данныхdata-*к HTML-элементу (см.source code) , что могло привести к выполнению произвольного JavaScript-кода или генерации недопустимого HTML. Висправлениибыла добавлена проверка на наличие недопустимых символов в атрибуте.
CVE-CVE-2024-12365 , обнаруженная в плагинеW3 Total Cache для WordPress в версиях до 2.8.1включительно, приводит кServer-Side Request Forgery (SSRF). Проблема заключалась в отсутствии проверки авторизации в функцииis_w3tc_admin_page(), что позволяло аутентифицированным пользователям получить доступ к конфиденциальным данным и выполнять несанкционированные действия, внутри системы. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-24019 , обнаруженная вYesWiki в версиях до 4.4.5 включительно, приводит кPath Traversal. Проблема заключалась в использовании параметров из запроса для формирования пути к файлу в методеfmErase()(см.source code), что позволяло злоумышленнику получить доступ к произвольным файлам на хосте. Висправлениидобавлена проверка формата имени файла и конструкцияbasename(realpath()), которая преобразует переданные данные в нормализованный абсолютный путь и извлекает только имя файла из пути, отбрасывая любые попытки указать директорию.
CVE-CVE-2025-24530 , обнаруженная вphpMyAdmin в версиях до 5.2.2, приводит кCross-Site Scripting (XSS). Проблема заключалась в попадании пользовательских данных из имени таблицы в переменную$indexesProblemsв функцииgetIndexesProblems()без обработки (см.source code), что могло привести к генерации недопустимого HTML и выполнению произвольного JavaScript-кода. Висправлениибыла добавлена санитизация специальных символов с помощью функцииhtmlspecialchars().
CVE-CVE-2025-23047 , найденная вCilium в версиях до 1.14.18, 1.15.12 и 1.16.5, приводит кInformation Disclosure. Уязвимость возникала из-за некорректной настройки политики CORS (см.source code), что позволило злоумышленнику получить сведения о конфигурации кластераKubernetes. Висправлениибыла отключена поддержкаCORSи  кросс-доменных запросов.
CVE-CVE-2025-24359 , обнаруженная вASTEVAL в версиях до 1.0.6, приводит кRemote Code Execution (RCE). Уязвимость обусловлена использованием в функцииon_formattedvalue()пользовательских данных вstr.format()без предварительной проверки (см.source code), что позволяет злоумышленнику манипулировать значением строки, используемой в опасном вызовеfmt.format(__fstring__=val). Висправлениидобавлены функцииgetattr()иsafe_format(), которые предотвращает доступ к небезопасным атрибутам объектов и убирают возможность выполнения небезопасного кода через подстановки.
CVE-CVE-2025-0411 , обнаруженная в7-Zip в версиях до 24.09, приводит кRemote Code Execution (RCE). Уязвимость обусловлена некорректной обработкой архивов, на которые 7-Zip не распространяет маркировку безопасностиMark of the Webпри извлечении файлов, что позволяло злоумышленникам выполнять произвольный код в контексте пользователя. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-23211 , выявленная вTandoor Recipes в версиях до 1.5.24, приводит кServer-Side Template Injection (SSTI). Уязвимость обусловлена возможностью попадания пользовательского ввода в шаблонjinja2.Template()(см.source code), что может привести к выполнению произвольного кода на сервере. ВисправлениииспользованиеTemplate()было заменено на безопасную версиюSandboxedEnvironment(), который создает ограниченную среду для выполнения шаблонов.
CVE-CVE-2025-22604 , выявленная вCacti в версиях до 1.2.29, приводит кOS Command Injection. Уязвимость обусловлена попаданием пользовательских данных в функциюshell_exec(), которая используется добавления данных в файл (см.source code). Висправленииопасная функция была заменена наfile_put_contents(), которая записывает пользовательские данные напрямую в файл.
CVE-CVE-2025-24370 , обнаруженная вDjango-Unicorn в версиях до 0.62.0, приводит кImproperly Controlled Modification of Dynamically-Determined Object Attributes.Уязвимость обусловлена возможностью внедрения магических методов Python в функциюset_property_value()(см.source code), что могло привести к произвольным изменениям состояния среды выполнения. Висправлениибыла добавлена проверка, что передаваемые параметры не начинаются и не заканчиваются нижними подчеркиваниями.
CVE-CVE-2025-24793 , обнаруженная вSnowflake в версиях с 2.2.5 до 3.13.1, приводит кSQL Injection. Проблема заключалась в возможности использования пользовательских данных в SQL запросе (см.source code), что позволяло злоумышленнику внедрить произвольный SQL код. Висправленииформирование SQL запроса стало выполняться с помощью параметризации и было ведено ограничение, что в одном вызовеcursor.execute()должен быть выполнен только один SQL-запрос.
CVE-CVE-2025-21298 , обнаруженная вWindows OLE, приводит кRemote Code Execution (RCE). Уязвимость находилась в функцииUtOlePresStmToContentsStm()вole32.dll, которая обрабатываетObject Linking and Embedding (OLE), встроенные в электронные письма/файлы в Microsoft Word и Outlook, что позволяло злоумышленнику встроить полезную нагрузку с вредоносным кодом в документы, который запускался при открытии или предварительном просмотре вредоносного документа. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-24366 , обнаруженная вSFTPGo в версиях до v2.6.5, приводит кOS Command Injection. Уязвимость обусловлена передачей уязвимых параметров в командуrsync(см.source code), что давало удаленному пользователю возможность чтения и записи файлов с разрешениями серверного процессаSFTPGo. Висправлениибыла добавлена функцияcanAcceptRsyncArgs(), которая проверяет соответствие переданных аргументов заранее заданному формату для командыrsync.
CVE-CVE-2025-0825 , выявленная вcpp-httplib в версиях c v0.17.3 до v0.18.3, приводит кHTTP Request/Response Splitting. Уязвимость обусловлена возможностью обхода проверки функцииhas_crlf(), которая проверяла только наличие символов\rи\n, но не учитывала кодировки и нулевые баты (см.source code), что позволяло злоумышленнику получить доступ к конфиденциальной информации. Висправлениибыла добавлена проверка символов по "белому" списку.
CVE-CVE-2025-24961 , обнаруженная вS3Proxy в версиях до 2.6.0, приводит кPath Traversal. Уязвимость обусловлена добавлением пользовательского данных в путь до файла без предварительной проверки (см.source code), что приводило к возможности раскрытия списка локальных файлов пользователей. Висправлениибыла добавлена функцияcheckValidPath(), которая нормализует путь и проверяет, что путь начинается с разрешенной папки.
CVE-CVE-2025-24981 , обнаруженная вMDC в версиях до 0.13.3, приводит кCross-site Scripting (XSS). Проблема заключалась в возможности обхода фильтрующей проверки, используя кодировку символов (см.source code), что позволяло злоумышленнику внедрить вредоносный JavaScript код. Висправлениибыла добавлена функцияisAnchorLinkAllowed(), которая декодирует переданное значение и санитизирует его от запрещенных комбинаций.
CVE-CVE-2025-0994 , обнаруженная вTrimble Cityworks в версиях до 15.8.9 и в Cityworks в версиях до 23.10, приводит кDeserialization of Untrusted Data. Уязвимость позволяла аутентифицированному пользователю выполнить удаленное выполнение кода на веб-сервереMicrosoft Internet Information Services (IIS). Информация об уязвимости, рекомендациях по обновлению и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-24897 , обнаруженная вMisskey в версиях до 2025.2.0-alpha.0, приводит кCross-Site Request Forgery (CSRF). Проблема заключалась в выдаче токена, который был доступен для всех страниц сайта и срок  действия устанавливался равный году (см.source code), что приводило к возможности злоумышленником перехватить сессию пользователя и получить доступ к защищенным разделам приложения. Висправлениив функцииfetchAccount()для  токена были установлены атрибуты cookie (path=/queue, max-age=86400, SameSite=Strict, Secure).
CVE-CVE-2025-25203 , выявленная вCtrlPanel в версиях до 1.0, приводит кCross-Site Scripting (XSS). Проблема заключалась в передаче пользовательских значений в полеpriorityбез проверки (см.source code), что могло привести к выполнению вредоносных скриптов переданных через полеpriorityна странице модератора. Висправлениибыл добавлен "белый" список значений, которые может принимать полеpriority.
CVE-CVE-2024-57971 , обнаруженная вKNOWAGE в версиях до 8.1.30, приводит кResource Injection. Уязвимость заключалась в возможности злоумышленника передавать любые данные в идентификатор ресурсовJNDI(см.source code), что могло привести к несанкционированному доступу к системным ресурсам. Висправлениибыл добавлен методcheckJNDIName(), который проверяет, чтоJNDIимя начинается сjava:comp/env/jdbc/.
CVE-CVE-2025-25297 , выявленная вLabel Studio в версиях до 1.16.0, приводит кServer-Side Request Forgery (SSRF). Уязвимость заключалась в попаданием пользовательских значений в параметрs3_endpointбез предварительной проверки (см.source code), что давало возможность злоумышленнику заставить приложение отправлять HTTP-запросы произвольным внутренним службам. Висправлениибыл добавлен декораторcatch_and_reraise_from_none, который проверяет переданный домен по "белому" списку доверенныхS3доменов.
CVE-CVE-2025-1094 , обнаруженная вPostgreSQL в версиях до 17.3, 16.7, 15.11, 14.16 и 13.19, приводит кSQL Injection. Уязвимость связана с некорректной нейтрализацией кавычек, что открывает возможность для злоумышленника эксплуатировать SQL-инъекции, а также передавать команды быстрого доступа с помощью\!, которые могут привести к выполнению команды оболочки. Информация об уязвимости и уязвимых версиях находится вSecurity Advisory.
CVE-CVE-2025-27092 , выявленная вGHOSTS в версиях до8.2.7.9, приводит кPath Traversal. Проблема заключалась в попадании пользовательских данных без предварительной проверки в параметрphotoLinkв/api/npcs/{id}/photo(см.source code), что позволяло злоумышленнику получить доступ к произвольным файлам. Висправлениибыла добавлена функцияIsPathWithinAppScope(), которая преобразует путь в абсолютный и проверяет находится ли переданный путь в пределах допустимых папок, также была добавлена проверка, что файл имеет допустимое расширение изображений (.jpg, .jpeg, .png).
CVE-CVE-2025-27106 , выявленная вbinance-trading-bot в версиях до 0.0.100, приводит кOS Command Injection. Проблема заключалась в попадании имени файла напрямую вshell.exec()через эндпоинт/restore(см.source code), что позволяло любому авторизованному пользователю выполнить код на хосте. Висправлениифункцияshell.exec()была заменена на безопасную версиюexecFile(), в которую аргументы стали передаваться массивом.
CVE-CVE-2025-27090 , выявленная вSliver в версиях до 1.5.43, приводит кServer-Side Request Forgery (SSRF). Уязвимость заключалась в возможности открытия обратного туннеля со стороны тестируемой машины без отправки оператором такой команды (см.source code), что могло привести к раскрытию IP-адреса оператора третьей стороне и открывало его машину для слепой инъекции SSRF. Висправлениибыл добавлен механизм проверки и валидации сессий перед созданием обратного туннеля, предотвращая возможность несанкционированного подключения.
CVE-CVE-2025-27109 , выявленная вsolid-js в версиях до 1.9.4, приводит кCross-Site Scripting (XSS). Уязвимость возникала из-за неправильной обработки пользовательского ввода в JSX-фрагментах (см.source code), что могло привести к выполнению вредоносного JavaScript кода. Висправлениибыла добавлена функцияescape(), которая санитизирует специальные HTML-символы в строке, заменяя специальные символы на их мнемоники