A Google döntése, hogy eltávolítja a Chromium böngészőmotorból az XML-dokumentumok XSLT nyelvének támogatásához szükséges komponenseket. Az eltávolítás hátterében az a szándék áll, hogy csökkentsék a támadási felületet a libxslt könyvtár használatának leállításával. A Google véleménye szerint az XSLT 1.0 támogatása indokolatlan biztonsági kockázatokat jelent, mivel a libxslt könyvtárban időről időre sebezhetőségeket találnak (például a CVE-2025-7425 és CVE-2022-22834), és a karbantartásával is problémák vannak (július és szeptember között a könyvtár karbantartás nélkül maradt, és nem javították a sebezhetőségeket). A Firefox és a WebKit projektek is fontolgatják az XSLT támogatásának eltávolítását.
Az XSLT sebezhetőségei eszközként szolgálnak a böngészők ellen indított támadásokhoz, miközben jelenleg az XSLT kliensoldali támogatása nem keresett, és rendkívül ritkán használják, a HTML-be való adatátalakítás feladatait pedig biztonságosabban meg lehet oldani JavaScript API-k, például a DOMParser és a Fetch segítségével. A Google statisztikái szerint a használt weboldalak aránya, ahol XSLT-t alkalmaznak, 0,02%, míg az XSLT feldolgozási utasításokat alkalmazó oldalak részesedése 0,001%-ra tehető.
Hasonlóképpen határozták el a Chromium libxml2 könyvtárának használatának leállítását is, amelyben szintén rendszeresen felfedeznek sebezhetőségeket, és karbantartási problémák merülnek fel. A libxml2 könyvtárat a Chromium XML formátumú adatok feldolgozására, sorozatba állítására és ellenőrzésére használják, a libxslt alapjain pedig az XSLTProcessor osztály és az XSLT feldolgozási utasítások („”) is megvalósulnak.
A libxslt alapú funkciók, mint például az XSLTProcessor API és az XML-stíluslapok feldolgozó utasításai, a Chrome 155-ös verziójában szűnnek meg, amelyet 2026. november 17-én terveznek kiadni. A Chrome 143-as verziójában, amelyet 2025. december 2-án terveznek kiadni, a webkonzol figyelmeztetést fog kiadni az XSLTProcessor API elavulásáról. A Chrome 148-ban (2026 tavaszán) az XSLT támogatása alapértelmezés szerint le lesz tiltva a Canary, Dev és Beta ágakban. Az XML-feldolgozási funkció megmarad, de egy új, Rust nyelven írt könyvtárra lesz átállítva, a biztonság érdekében.
Az XSLT beépített böngészőtámogatása helyett javasolt az XSLT feldolgozásának áthelyezése a szerver oldalára, a szerver és a már előkészített HTML-tartalom küldése az ügyfeleknek. Az XML API-t használó feldolgozók a kliens és szerverrel, a javascripttel való JSON formátumra és HTML/CSS megszüntetésére való átkonvertálásra javasolt váltani. Mint lehetséges alternatíva, említésre kerülnek a Saxonica JavaScript könyvtárak XSLT megvalósításával, a régi kódokkal való kompatibilitás biztosítására szolgáló polyfill réteg, amely az XSLTProcessor WASM alapú helyettesítését javasolja, valamint egy böngészőbővítmény, amely automatikusan beilleszti a polyfill réteget az XML dokumentumokba.
Forrás: opennet.ru
