CVE-2026-103485

Nome do Software Vulnerável e Versões Afetadas Extensions for Leaflet Map versões anteriores a 5.5

Descrição Ocorre Cross-Site Scripting Baseado em DOM Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. A exploração requer que um administrador do site tenha configurado previamente um mapa público usando a combinação de shortcodes [leaflet-map]+[leaflet-geojson]+[choropleth] cuja URL de origem GeoJSON seja controlada pelo atacante, por exemplo, através do comprometimento de um host de dados externo ou takeover de subdomínio. O problema é acionado através do parâmetro feature.properties[<template-token>].

Recomendações Atualize para uma versão posterior à 5.4.