CVE-2026-40302

Name of the Vulnerable Software and Affected Versions zrok versões anteriores a 2.0.1

Description O mecanismo de template proxyUi utiliza o text/template do Go, que não realiza a escape de HTML, em vez do html/template. Os manipuladores de callback do GitHub OAuth em 'publicProxy' e 'dynamicProxy' incorporam o parâmetro de consulta refreshInterval, controlado pelo invasor, diretamente em uma mensagem de erro quando a função time.ParseDuration() falha. Esse erro é então renderizado no HTML sem a devida escape. Um invasor pode enviar uma URL de login manipulada para uma vítima e, após a conclusão do fluxo de OAuth do GitHub, a página de callback executa JavaScript arbitrário na origem do servidor OAuth.

Recommendations Atualizar para a versão 2.0.1.