OWASP Java HTML Sanitizerは、Javaで実装された設定可能なHTMLサニタイザであり、サードパーティが生成したHTMLをWebアプリケーションに組み込む際にXSSから保護します。バージョン20240325.1では、HtmlPolicyBuilderがnoscriptおよびstyleタグを許可しており、styleタグ内でallowTextInが指定された場合にXSSの脆弱性が存在します。攻撃者がCSSが適切にサニタイズされていない状況や、HTMLポリシーで許可されていないタグが許容される条件を利用してペイロードを作成すると、XSSが発生する可能性があります。公開時点で既知のパッチは提供されていません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。