CVE-2026-55876

Nome do Software Vulnerável e Versões Afetadas Helium versões anteriores a 2.2.60

Descrição Usuários autenticados podem fazer upload de anexos SVG e HTML através do endpoint 'POST /planner/attachments/'. Isso ocorre porque as listas BLOCKED ATTACHMENT EXTENSIONS e BLOCKED ATTACHMENT MIME TYPES em conf/configs/common.py omitem esses formatos, e o arquivo attachmentserializer.py depende dessas listas de bloqueio. Um SVG enviado e servido como image/svg+xml pode executar scripts incorporados quando um visitante abre a URL pública do anexo, permitindo conteúdo ativo persistente controlado por um invasor e phishing. Devido à política de mesma origem (same-origin policy), o script não pode ler cookies ou armazenamento do aplicativo, pois o armazenamento de anexos utiliza uma origem separada da do aplicativo.

Recomendações Atualizar para a versão 2.2.60.