PT-2026-144973
CVE-2026-64671
·
Publicado
2026-11-11
·
Atualizado
2026-11-11
Descrição por
CVSS 3.1
7.2
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
Waline versões anteriores a 3.15.2
Description
O widget UserList do
@waline/client não realiza a filtragem de HTML ao concatenar campos de comentaristas retornados pelo servidor no root.innerHTML. Como o servidor retorna o apelido e o link do comentarista literalmente e o campo de link ignora o filtro de spam, um visitante não autenticado pode injetar scripts maliciosos através da variável link. Isso resulta em cross-site scripting (XSS) armazenado, onde o script é executado automaticamente no navegador de qualquer visitante que acesse uma página com o widget UserList.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾