A empresa Google decidiu remover do mecanismo de navegador Chromium os componentes para suporte ao language de transformação de documentos XML, XSLT. A razão mencionada é o desejo de reduzir a superfície de ataque ao interromper o uso da biblioteca libxslt. Na visão do Google, o suporte ao XSLT 1.0 cria riscos de segurança injustificáveis, uma vez que a biblioteca libxslt periodicamente revela vulnerabilidades (como CVE-2025-7425 e CVE-2022-22834) e enfrenta problemas de manutenção (de junho a setembro, a biblioteca ficou sem suporte e sem correções para vulnerabilidades). Os projetos Firefox e WebKit também estão considerando a possibilidade de remover o suporte ao XSLT.
Vulnerabilidades em XSLT tornam-se uma ferramenta para ataques a navegadores, enquanto atualmente o suporte do cliente ao XSLT é raramente requisitado e utilizado, e as tarefas de transformação de dados em HTML podem ser resolvidas de forma mais segura por meio de APIs JavaScript, como DOMParser e Fetch. Segundo estatísticas do Google, a parcela de páginas web carregadas que utilizam XSLT é de 0,02%, e a parcela de páginas com instruções de processamento XSLT é estimada em 0,001%.
De maneira semelhante, decidiu-se interromper o uso da biblioteca libxml2 no Chromium, que também apresenta vulnerabilidades regulares e tem problemas de manutenção. A biblioteca libxml2 é utilizada no Chromium para análise, serialização e verificação de dados em formato XML, e com base na libxslt, é implementada a classe XSLTProcessor e as instruções de processamento XSLT ("").
O suporte a recursos baseados em libxslt, como a API XSLTProcessor e instruções para análise de tabelas de estilo XML, será interrompido na versão 155 do Chrome, prevista para 17 de novembro de 2026. Na versão 143 do Chrome, programada para 2 de dezembro de 2025, um aviso sobre a descontinuação da API XSLTProcessor será adicionado ao console da web. Na versão 148 do Chrome (primavera de 2026), o suporte ao XSLT será desativado por padrão nas branches Canary, Dev e Beta. A funcionalidade para análise de XML será mantida, mas será transferida para uma nova biblioteca escrita em Rust, visando aumentar a segurança.
Como substituto do suporte integrado ao XSLT no navegador, propõe-se transferir o processamento de XSLT para o lado servidor e enviar aos clientes o conteúdo HTML já formado. Manipuladores que utilizam API XML para interagir entre o cliente e servidor, foi proposto substituir pelo uso do formato JSON e renderização através da conversão de JSON para HTML/CSS utilizando JavaScript. Entre as alternativas possíveis, também se destaca o uso de bibliotecas JavaScript como Saxonica, que implementa XSLT, uma camada de polyfill para garantir compatibilidade com código mais antigo, oferecendo uma substituição do XSLTProcessor baseada em WASM, e uma extensão de navegador que insere automaticamente a camada de polyfill em documentos XML.
Fonte: opennet.ru
