Chromium hat beschlossen, die XSLT-Unterstützung zu entfernen und die Verwendung von libxslt und libxml2 einzustellen.

Google hat beschlossen, die Komponenten, die die XML-Dokumenttransformationssprache (XSLT) unterstützen, aus der Chromium-Browser-Engine zu entfernen. Als Grund wird der Wunsch genannt, die Angriffsfläche durch die Einstellung der Verwendung der libxslt-Bibliothek zu verringern. Google ist der Ansicht, dass die Unterstützung von XSLT 1.0 unnötige Sicherheitsrisiken birgt, da libxslt regelmäßig Sicherheitslücken aufweist (z. B. CVE-2025-7425 und CVE-2022-22834) und Wartungsprobleme hat (von Juni bis September wurde die Bibliothek nicht gewartet und es wurden keine Sicherheitsupdates bereitgestellt). Auch die Firefox- und WebKit-Projekte erwägen, die XSLT-Unterstützung zu entfernen.

XSLT-Schwachstellen werden zunehmend für Browserangriffe missbraucht, obwohl clientseitige XSLT-Unterstützung derzeit weder notwendig noch weit verbreitet ist und HTML-Datenkonvertierungen mit JavaScript-APIs wie DOMParser und Fetch deutlich sicherer durchgeführt werden können. Laut Google-Statistiken liegt der Anteil der geladenen Webseiten, die XSLT verwenden, bei 0.02 %, während der Anteil der Seiten, die XSLT-Verarbeitungsanweisungen nutzen, auf 0.001 % geschätzt wird.

Ebenso wurde beschlossen, die Verwendung der libxml2-Bibliothek in Chromium einzustellen, da diese regelmäßig Sicherheitslücken und Wartungsprobleme aufweist. Chromium verwendet libxml2 zum Parsen, Serialisieren und Validieren von XML-Daten, und libxslt dient zur Implementierung der XSLTProcessor-Klasse und der XSLT-Verarbeitungsanweisungen. »).

Die Unterstützung für libxslt-basierte Funktionen wie die XSLTProcessor-API und Anweisungen zum Parsen von XML-Stylesheets wird in Chrome 155 (geplant für den 17. November 2026) eingestellt. In Chrome 143 (geplant für den 2. Dezember 2025) wird in der Webkonsole ein Hinweis auf die Einstellung der XSLTProcessor-API angezeigt. In Chrome 148 (Frühjahr 2026) wird die XSLT-Unterstützung in den Zweigen Canary, Dev und Beta standardmäßig deaktiviert. Die XML-Parsing-Funktionalität bleibt erhalten, wird aber in eine neue, in Rust geschriebene Bibliothek migriert, die besonderen Wert auf Sicherheit legt.

Als Ersatz für die im Browser integrierte XSLT-Unterstützung wird vorgeschlagen, die XSLT-Verarbeitung an einen Drittanbieter auszulagern. Server und senden vorformatierten HTML-Inhalt an Clients. Handler, die die XML-API für die Interaktion zwischen Client und ServerEs wird vorgeschlagen, die bisherige Vorgehensweise durch die Verwendung des JSON-Formats und die Konvertierung von JSON in HTML/CSS mittels JavaScript zu ersetzen. Weitere mögliche Alternativen sind die Saxonica JavaScript-Bibliothek mit ihrer XSLT-Implementierung, eine Polyfill-Schicht zur Gewährleistung der Kompatibilität mit bestehendem Code, die einen WASM-basierten Ersatz für XSLTProcessor bietet, sowie ein Browser-Add-on, das das Polyfill automatisch in XML-Dokumente einfügt.

Source: opennet.ru