PT-2026-147434
CVE-2026-129447
·
Publicado
2026-11-14
·
Atualizado
2026-11-14
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
Kroki versões anteriores a 0.36.0
Description
Um problema de cross-site scripting refletido existe no endpoint '/dbml/svg'. Atacantes não autenticados podem injetar hyperlinks
javascript: fornecendo valores especialmente manipulados para as configurações de url, headercolor ou cor de TableGroup em uma tabela DBML. Isso permite a execução de JavaScript arbitrário na origem do Kroki quando uma vítima abre um link SVG manipulado e clica no cabeçalho da tabela.Recommendations
Atualize para a versão 0.36.0 ou posterior.
Como mitigação temporária, restrinja o acesso ao endpoint '/dbml/svg'.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾