Kompania Google ka marrë një vendim për të fshirë nga motorri i shfletuesit Chromium komponentët për mbështetje të gjuhës së transformimit të dokumenteve XML, XSLT. Arsyeja e përmendur është dëshira për të reduktuar sipërfaqen e sulmit duke pushuar përdorimin e bibliotekës libxslt. Sipas Google, mbështetja për XSLT 1.0 krijon rreziqe të papara për sigurinë, pasi në bibliotekën libxslt herë pas here identifikohen dobësi (p.sh., CVE-2025-7425 dhe CVE-2022-22834) dhe ajo ka probleme me mbështetjes (nga qershori deri në shtator, biblioteka mbeti pa mbështetje dhe rregullim të dobësive). Projektet Firefox dhe WebKit gjithashtu po shqyrtojnë mundësinë e fshirjes së mbështetjes për XSLT.
Dobësitë në XSLT po bëhen një mjet për kryerjen e sulmeve ndaj shfletuesve, ndonëse aktualisht mbështetja klient të XSLT është e papërshtatshme dhe përdoret shumë rrallë, ndërsa detyrat e transformimit të të dhënave në HTML mund të zgjidhen më sigurtë me ndihmën e JavaScript API, si DOMParser dhe Fetch. Sipas statistikave të Google, pjesa e faqeve web që ngarkohen duke përdorur XSLT është 0.02%, dhe pjesa e faqeve që aplikojnë instrukcione përpunimi XSLT është e vlerësuar në 0.001%.
Po ashtu është vendosur të pezullohet përdorimi në Chromium i bibliotekës libxml2, në të cilën gjithashtu identifikohen rregullisht dobësi dhe ka probleme me mbështetjes. Biblioteka libxml2 përdoret në Chromium për analizimin, serializimin dhe verifikimin e të dhënave në formatin XML, ndërsa mbi libxslt implementohet klasa XSLTProcessor dhe instrukcionet e përpunimit XSLT ("").
Mbështetje për funksionalitetet e bazuara në libxslt, si API XSLTProcessor dhe instrukcionet për analizimin e tabelave stilistike XML, do të pezullohet në versionin Chrome 155, i planifikuar për 17 nëntor 2026. Në Chrome 143, i planifikuar për 2 dhjetor 2025, në konsolën web do të shtohet një paralajmërim për kalimin e API XSLTProcessor në statusin e vjetëruar. Në Chrome 148 (pranverë 2026) mbështetja për XSLT do të çaktivizohet si parazgjedhje në degët Canary, Dev dhe Beta. Funksionaliteti për analizimin e XML do të mbetet, por do të kalojë në një bibliotekë të re të shkruar në Rust, me fokus në sigurimin e sigurisë.
Si zëvendësim për mbështetje të brendshme të XSLT në shfletues, propozimi është të transferohet përpunimi i XSLT në anën e server dhe ta dërgojmë klientëve përmbajtjen HTML të formuar tashmë. Përpunuesit që përdorin XML API për ndërveprimin midis klientit dhe serverin, propozimi është të zëvendësohet me përdorimin e formatit JSON dhe paraqitjen përmes transformimit të JSON në HTML/CSS me ndihmën e JavaScript. Si alternativa e mundshme, gjithashtu, përmendet përdorimi i bibliotekave JavaScript Saxonica me implementimin e XSLT, një shtresë polyfill për të siguruar përputhshmërinë me kodin e vjetër, e cila ofron një zëvendësim të XSLTProcessor mbi bazën e WASM, dhe një shtesë shfletuesi që automatikisht shton shtresën polyfill në dokumentet XML.
Burimi: opennet.ru
