CVE-2026-124491

Nome do Software Vulnerável e Versões Afetadas SunEditor versões anteriores a 3.4.0

Description Um problema de cross-site scripting armazenado existe no método create() do plugin FileUpload. A aplicação atribui nomes de arquivos retornados pelo servidor ao innerHTML sem a devida filtragem. Isso permite que atacantes façam upload de arquivos com nomes contendo HTML que ignoram o html.clean(), levando à execução de JavaScript nos navegadores de usuários que carregam o conteúdo ou itens da galeria, o que pode resultar no roubo de sessão.

Recommendations Atualize para a versão 3.4.0 ou posterior. Como mitigação temporária, restrinja o uso do plugin FileUpload até que a atualização seja aplicada.