CVE-2026-64670

Nome do Software Vulnerável e Versões Afetadas Waline versões anteriores a 3.15.3

Description Um problema de Cross-Site Scripting (XSS) armazenado existe no componente @waline/client. O sistema renderiza a pré-visualização ao vivo do editor de comentários usando a biblioteca marked sem um sanitizador em utils/markdown.ts, e a pré-visualização resultante é injetada via v-html. Quando um moderador ou administrador edita um comentário malicioso, o editor é alimentado com a variável orig bruta e não sanitizada, fazendo com que o HTML do invasor seja executado na sessão do administrador. Isso permite que um comentador não autenticado realize uma escalada de privilégios.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.