Společnost Google se rozhodla odstranit z prohlížeče Chromium komponenty pro podporu jazyka pro transformaci XML dokumentů XSLT. Jako důvod se uvádí snaha snížit útočnou plochu prostřednictvím ukončení používání knihovny libxslt. Podle názoru Google vytváří podpora XSLT 1.0 nepřiměřená bezpečnostní rizika, protože v knihovně libxslt se pravidelně objevují zranitelnosti (např. CVE-2025-7425 a CVE-2022-22834) a má problémy s podpůrnými službami (od června do září zůstala knihovna bez podpory a opravy zranitelností). Projekty Firefox a WebKit také zvažují možnost odstranění podpory XSLT.
Zranitelnosti v XSLT se stávají nástrojem pro útoky na prohlížeče, přičemž v současnosti je klientská podpora XSLT nepoužívaná a je využívána velmi zřídka, zatímco úkoly transformace dat do HTML mohou být bezpečněji prováděny pomocí API JavaScriptu, jako jsou DOMParser a Fetch. Podle statistik Google podíl načtených webových stránek, které používají XSLT, činí 0,02 %, zatímco podíl stránek, na kterých se uplatňují instrukce pro zpracování XSLT, je odhadován na 0,001 %.
Podobně bylo rozhodnuto přestat používat v Chromiu knihovnu libxml2, ve které se také pravidelně objevují zranitelnosti a existují problémy s její podporou. Knihovna libxml2 se v Chromiu používá k analýze, serializaci a kontrole dat ve formátu XML, zatímco na základě libxslt je implementována třída XSLTProcessor a instrukce pro zpracování XSLT (“”).
Podpora funkcí založených na libxslt, jako jsou API XSLTProcessor a instrukce pro analýzu XML stylů, bude ukončena v verzi Chrome 155, plánované na 17. listopadu 2026. V Chrome 143, plánovaném na 2. prosince 2025, bude do webové konzole přidáno varování o převedení API XSLTProcessor do kategorie zastaralých. V Chrome 148 (na jaře 2026) bude podpora XSLT ve výchozím nastavení zakázána v kanálech Canary, Dev a Beta. Funkčnost pro analýzu XML zůstane, ale bude převedena na novou knihovnu napsanou v jazyce Rust s ohledem na zajištění bezpečnosti.
Jako náhradu za vestavěnou podporu XSLT v prohlížeči se navrhuje přesunout zpracování XSLT na stranu serveru a posílat klientům již vytvořený HTML obsah. Zpracovatele, kteří používají XML API pro interakci mezi klientem a serverem, se doporučuje nahradit použitím formátu JSON a renderováním pomocí převodu JSON na HTML/CSS pomocí JavaScriptu. Mezi možnými alternativami je také použití JavaScriptových knihoven Saxonica s implementací XSLT, polyfill vrstvy pro zajištění kompatibility se starým kódem, která nabízí alternativu k XSLTProcessor založené na WASM, a doplňku pro prohlížeč, který automaticky vkládá polyfill vrstvu do XML dokumentů.
Zdroj: opennet.ru
