PT-2024-28949

CVE-2024-40626

Publicado

2024-07-16

Atualizado

2026-01-28

Descrição por

CVSS 3.1

7.3

Alta

MétricasAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Outline anteriores à 0.77.3

Descrição

Um problema de confusão de tipos no processo de renderização do ProseMirror leva a uma vulnerabilidade de tipo Stored Cross-Site Scripting (XSS). Um usuário autenticado pode criar um documento com uma carga maliciosa de JavaScript, que pode ser executada quando outros usuários visualizam o documento. O problema pode contornar as restrições da Política de Segurança de Conteúdo (CSP) em ambientes auto-hospedados com armazenamento de arquivos no mesmo domínio.

Recomendações

Para versões anteriores à 0.77.3, atualize para a versão 0.77.3 para resolver o problema.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Rskvp93

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')