Google hat beschlossen, die Unterstützung für die Transformer-Sprache XSLT im Browser-Engine Chromium abzubauen. Als Grund wird das Bestreben genannt, die Angriffsfläche durch die Beendigung der Nutzung der Bibliothek libxslt zu verringern. Google ist der Meinung, dass die Unterstützung von XSLT 1.0 unangemessene Sicherheitsrisiken mit sich bringt, da in der Bibliothek libxslt regelmäßig Schwachstellen entdeckt werden (z.B. CVE-2025-7425 und CVE-2022-22834), und es Probleme mit der Wartung gibt (von Juni bis September wurde die Bibliothek ohne Wartung und Schwachstellenbehebung gelassen). Auch die Projekte Firefox und WebKit prüfen die Möglichkeit, die XSLT-Unterstützung zu entfernen.
Schwachstellen in XSLT werden zu einem Werkzeug für Angriffe auf Browser, obwohl die Kundenunterstützung für XSLT derzeit nicht gefragt ist und äußerst selten genutzt wird. Daten, die in HTML umgewandelt werden müssen, können sicherer mit JavaScript-APIs wie DOMParser und Fetch verarbeitet werden. Laut Google beträgt der Anteil der geladenen Webseiten, die XSLT verwenden, 0,02 %, während der Anteil der Seiten, die XSLT-Verarbeitungsanweisungen nutzen, auf 0,001 % geschätzt wird.
Ähnlich wurde beschlossen, die Nutzung der Bibliothek libxml2 in Chromium einzustellen, in der ebenfalls regelmäßig Schwachstellen gefunden werden und die Wartungsprobleme hat. Die Bibliothek libxml2 wird in Chromium für das Parsen, die Serialisierung und die Überprüfung von Daten im XML-Format verwendet, während auf der Grundlage von libxslt die Klasse XSLTProcessor und die XSLT-Verarbeitungsanweisungen („“) realisiert sind.
Die Unterstützung von Funktionen, die auf libxslt basieren, wie der API XSLTProcessor und den Anweisungen zum Parsen von XML-Stilen, wird mit der Version Chrome 155 enden, die für den 17. November 2026 geplant ist. In Chrome 143, das für den 2. Dezember 2025 geplant ist, wird ein Warnhinweis in die Web-Konsole eingefügt, der die API XSLTProcessor als veraltet kennzeichnet. In Chrome 148 (Frühling 2026) wird die Unterstützung von XSLT standardmäßig in den Canary-, Dev- und Beta-Zweigen deaktiviert. Die Funktionalität für das Parsen von XML bleibt erhalten, wird jedoch auf eine neue, in Rust geschriebene Bibliothek umgestellt, die auf Sicherheit abzielt.
Als Alternative zur integrierten Browserunterstützung für XSLT wird vorgeschlagen, die XSLT-Verarbeitung auf die Seite сервера zu verlagern und den Kunden bereits generierten HTML-Inhalt zu senden. Handler, die XML-APIs für die Interaktion zwischen dem Client und Server, sollten durch die Verwendung des JSON-Formats und die Umwandlung von JSON in HTML/CSS mit JavaScript ersetzt werden. Zu den möglichen Alternativen gehören auch JavaScript-Bibliotheken wie Saxonica, die XSLT implementieren, und eine Polyfill-Schicht zur Sicherstellung der Kompatibilität mit altem Code, die einen Ersatz für XSLTProcessor auf der Basis von WASM bietet, sowie eine Browsererweiterung, die automatisch die Polyfill-Schicht in XML-Dokumente einfügt.
Quelle: opennet.ru
