I Chromium har man beslutat att ta bort stödet för XSLT och sluta använda libxslt och libxml2.

Google har beslutat att ta bort stöd för XSLT från webbläsarmotorn Chromium. Orsaken anges vara en vilja att minska attackytan genom att upphöra med användningen av biblioteket libxslt. Enligt Google skapar stödet för XSLT 1.0 onödiga säkerhetsrisker, då sårbarheter regelbundet upptäckts i biblioteket libxslt (till exempel CVE-2025-7425 och CVE-2022-22834) och det finns problem med underhållet (från juni till september förblev biblioteket utan underhåll och patchar för sårbarheter). Projekten Firefox och WebKit överväger också att ta bort stödet för XSLT.

Sårbarheter i XSLT blir verktyg för attacker mot webbläsare, samtidigt som klientstödet för XSLT för närvarande är obefintligt och används mycket sällan. Uppgiften att omvandla data till HTML kan lösas på ett säkrare sätt med hjälp av JavaScript API:er som DOMParser och Fetch. Enligt statistik från Google utgör andelen webbsidor som använder XSLT 0.02%, medan andelen sidor med XSLT-behandlingsinstruktioner uppskattas till 0.001%.

Det har också beslutats att sluta använda biblioteket libxml2 i Chromium, där sårbarheter regelbundet hittas och det finns problem med underhållet. Biblioteket libxml2 används i Chromium för att analysera, serialisera och validera data i XML-format, och klassen XSLTProcessor och XSLT-behandlingsinstruktioner ("") är implementerade baserat på libxslt.

Stödet för libxslt-baserade funktioner, såsom API:et XSLTProcessor och instruktionerna för att analysera XML-stilmallar, kommer att upphöra i Chrome-version 155, planerat till den 17 november 2026. I Chrome 143, som är planerat till den 2 december 2025, kommer webbkonsolen att få en varning om att API:et XSLTProcessor klassas som föråldrat. I Chrome 148 (våren 2026) kommer stödet för XSLT att stängas av som standard i Canary-, Dev- och Beta-versionerna. Funktionaliteten för att analysera XML kommer att finnas kvar, men överföras till ett nytt bibliotek, skrivet i Rust med fokus på säkerhet.

Som en ersättning för det inbyggda stöd som webbläsaren erbjuder för XSLT föreslås det att flytta XSLT-behandlingen till servern servern och skicka redan formaterat HTML-innehåll till klienterna. Handlers som använder XML API för interaktion mellan klient och servern, föreslås att ersätta användningen av JSON-format och rendering genom att omvandla JSON till HTML/CSS med hjälp av JavaScript. Bland de möjliga alternativen nämns också användningen av JavaScript-biblioteket Saxonica med en implementering av XSLT, en polyfill-lager för att säkerställa kompatibilitet med gammal kod, som erbjuder en ersättning för XSLTProcessor baserat på WASM, och ett webbläsartillägg som automatiskt lägger till polyfill-lagret i XML-dokument.

Källa: opennet.ru