CVE-2026-110802

Nome do Software Vulnerável e Versões Afetadas Altair versões 7.2.4 through 8.5.7

Description No arquivo packages/altair-iframe-sandbox/src/main.ts, a aplicação lê plugin sandbox opts da query string do iframe-sandbox e passa scriptUrls controlados por um atacante para a função injectScript() em packages/altair-core/src/utils/inject.ts, que cria elementos de script na página. Embora o fluxo pretendido utilize um iframe com sandbox allow-scripts e sem allow-same-origin, a navegação direta para uma URL de iframe-sandbox manipulada ignora esse isolamento. Isso permite a execução de scripts fornecidos na origem que serve o Altair, possibilitando o acesso ao armazenamento legível por script e a realização de requisições de mesma origem, de acordo com os controles de autenticação e cookies da implantação.

Recommendations Atualizar para a versão 8.5.8.