Spoločnosť Google sa rozhodla odstrániť z prehľadávača Chromium komponenty na podporu jazyka na transformáciu XML dokumentov XSLT. Ako dôvod sa uvádza snaha znížiť povrch útoku prostredníctvom ukončenia používania knižnice libxslt. Podľa názoru Googlu podpora XSLT 1.0 predstavuje neoprávnené bezpečnostné riziká, pretože v knižnici libxslt sa periodicky zistili zraniteľnosti (napríklad CVE-2025-7425 a CVE-2022-22834) a má problémy s údržbou (od júna do septembra knižnica zostala bez údržby a opráv zraniteľností). Projekty Firefox a WebKit tiež zvažujú možnosť odstránenia podpory XSLT.
Zraniteľnosti v XSLT sa stávajú nástrojom na uskutočňovanie útokov na prehliadače, pričom v súčasnosti nie je podpora XSLT na strane klienta žiadaná a používa sa veľmi zriedkavo, a úlohy transformácie dát do HTML sa dajú bezpečnejšie vyriešiť pomocou JavaScript API, ako sú DOMParser a Fetch. Podľa štatistík Googlu podiel načítaných webových stránok, na ktorých sa používa XSLT, predstavuje 0,02%, a podiel stránok, na ktorých sa používajú inštrukcie spracovania XSLT, sa odhaduje na 0,001%.
Podobne sa rozhodlo ukončiť používanie v Chromium knižnice libxml2, v ktorej sa tiež pravidelne nachádzajú zraniteľnosti a existujú problémy s údržbou. Knižnica libxml2 sa používa v Chromium na analýzu, serializáciu a overovanie údajov vo formáte XML, pričom na základe libxslt je implementovaná trieda XSLTProcessor a inštrukcie spracovania XSLT ("").
Podpora možností založených na libxslt, ako sú API XSLTProcessor a inštrukcie analýzy tabuľky štýlov XML, sa ukončí vo vydaní Chrome 155, plánovanom na 17. novembra 2026. Vo verzii Chrome 143, plánovanej na 2. decembra 2025, sa do webovej konzoly pridá výstup varovania o prevedení API XSLTProcessor do kategórie zastaraných. V Chrome 148 (jar 2026) sa podpora XSLT predvolene vypne vo vetvách Canary, Dev a Beta. Funkcionalita pre analýzu XML zostane, no prejde na novú knižnicu napísanú v jazyku Rust s ohľadom na zabezpečenie.
Ako náhradu za vstavanú podporu XSLT v prehliadači sa navrhuje presunúť spracovanie XSLT na stranu servera a posielať klientom už vytvorený HTML obsah. Spracovatelia, ktorí používajú XML API na interakciu medzi klientom a serverom, navrhuje sa nahradiť použitím formátu JSON a vykreslením cez konverziu JSON na HTML/CSS pomocou JavaScriptu. Medzi možné alternatívy sa tiež uvádza použitie JavaScriptových knižníc Saxonica s implementáciou XSLT, polyfill vrstvou pre zabezpečenie kompatibility so starým kódom, ponúkajúcej náhradu XSLTProcessor založenou na WASM a prehliadačového doplnku, ktorý automaticky vkladá polyfill vrstvu do XML dokumentov.
Zdroj: opennet.ru
