Google har besluttet at fjerne komponenterne til understøttelse af XML-transformationssprog XSLT fra browser-motoren Chromium. Årsagen nævnes som et ønske om at reducere angrebsfladen ved at stoppe brugen af biblioteket libxslt. Ifølge Google skaber understøttelse af XSLT 1.0 urimelige sikkerhedsrisici, da der jævnligt opdages sårbarheder i biblioteket libxslt (for eksempel CVE-2025-7425 og CVE-2022-22834), og det har problemer med vedligeholdelse (fra juni til september var biblioteket uden vedligeholdelse og rettelse af sårbarheder). Projekterne Firefox og WebKit overvejer også muligheden for at fjerne understøttelsen af XSLT.
Sårbarheder i XSLT er blevet et redskab til at udføre angreb på browsere, samtidig med at klientunderstøttelse af XSLT i øjeblikket er uanvendt og bruges meget sjældent, og opgaver vedrørende datatransformation til HTML kan mere sikkert løses ved hjælp af JavaScript API'er som DOMParser og Fetch. Ifølge Google udgør andelen af indlæste web-sider, hvor XSLT anvendes, 0,02%, og andelen af sider, der bruger XSLT-behandlingsinstruktioner, er vurderet til 0,001%.
Det er også besluttet at stoppe brugen af biblioteket libxml2 i Chromium, da der regelmæssigt opdages sårbarheder i det, og der er problemer med vedligeholdelse. Biblioteket libxml2 bruges i Chromium til parsing, serialisering og validering af data i XML-format, og XSLTProcessor-klassen og XSLT-behandlingsinstruktionerne ("") er implementeret på basis af libxslt.
Understøttelsen af libxslt-baserede funktioner, som API'et XSLTProcessor og instruktionerne til parsing af XML-stylingstabel, vil blive lukket i Chrome 155, der er planlagt til 17. november 2026. I Chrome 143, planlagt til 2. december 2025, vil der blive tilføjet en advarsel i webkonsollen om, at API'et XSLTProcessor vil blive betragtet som forældet. I Chrome 148 (forår 2026) vil understøttelsen af XSLT som standard blive deaktiveret i Canary-, Dev- og Beta-versionerne. Funktionaliteten til parsing af XML vil blive bevaret, men flyttet til et nyt bibliotek skrevet i Rust med henblik på sikkerhed.
Som erstatning for den indbyggede browserunderstøttelse af XSLT foreslås det at flytte XSLT-behandling til serveren, server og sende allerede genereret HTML-indhold til klienterne. Behandlere, der bruger XML API til at interagere mellem klienten og serveren, foreslås det at erstatte med anvendelse af JSON-formatet og rendering via konvertering af JSON til HTML/CSS ved hjælp af JavaScript. Blandt de mulige alternativer nævnes også anvendelse af JavaScript-biblioteker som Saxonica med implementering af XSLT, en polyfill-lag for at sikre kompatibilitet med gammel kode, som tilbyder en erstatning af XSLTProcessor baseret på WASM, samt en browserudvidelse, der automatisk tilføjer polyfill-laget til XML-dokumenter.
Kilde: opennet.ru
