CVE-2026-4983

Nome do Software Vulnerável e Versões Afetadas Open VSX Registry (versões afetadas não especificadas)

Descrição O software não sanitiza arquivos SVG carregados como ícones de extensão antes do armazenamento e os serve com o cabeçalho 'Content-Type: image/svg+xml' sem cabeçalhos de segurança como 'Content-Security-Policy' ou 'Content-Disposition: attachment'. Isso permite que um invasor publique uma extensão com um ícone SVG malicioso, resultando em cross-site scripting (XSS) armazenado — uma falha onde scripts maliciosos são armazenados permanentemente no servidor e executados no navegador da vítima — quando um usuário acessa a URL do ícone. Em implantações que utilizam armazenamento local, a execução do script ocorre na origem da aplicação, permitindo potencialmente o sequestro de sessão, roubo de tokens de autenticação e publicação não autorizada de extensões. Em implantações com armazenamento externo, como um CDN baseado em S3, a execução é limitada à origem do armazenamento, o que ainda pode permitir ataques de phishing e coleta de credenciais.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.