CVE-2026-40262

Name of the Vulnerable Software and Affected Versions Note Mark versões anteriores a 0.19.2

Description Um problema de cross-site scripting (XSS) armazenado de mesma origem existe onde o manipulador de entrega de ativos serve arquivos carregados inline e depende da detecção de magic-bytes para o tipo de conteúdo. Este método falha ao identificar formatos baseados em texto, como HTML, SVG ou XHTML, resultando em arquivos servidos com um Content-Type vazio, sem o cabeçalho X-Content-Type-Options: nosniff e com disposição inline. Consequentemente, os navegadores podem farejar e renderizar conteúdo ativo. Um usuário autenticado pode carregar um arquivo HTML ou SVG malicioso contendo JavaScript como um ativo de nota através do endpoint '/api/notes/{noteID}/assets/{assetID}'. Quando uma vítima navega até a URL do ativo, o script é executado sob a origem da aplicação, concedendo acesso à sessão autenticada e ações de API da vítima.

Recommendations Atualizar para a versão 0.19.2.