CVE-2026-50190

Nome do Software Vulnerável e Versões Afetadas Shaarli versões anteriores a 0.16.3

Description Ocorre Cross-Site Scripting (XSS) armazenado no arquivo application/front/controller/visitor/BookmarkListController.php. O manipulador permalink concatena o valor bruto de $bookmark->getTitle() na variável de template pagetitle, que é então emitida no elemento <title> do documento sem a devida codificação HTML. Um invasor pode injetar um payload como </title><script>...</script> no título de um favorito para executar scripts arbitrários na origem do Shaarli para qualquer visitante que acesse o endpoint /shaare/{hash}. Como o buscador de metadados copia o título de páginas remotas literalmente, um invasor pode hospedar uma URL maliciosa e convencer um administrador a salvá-la como favorito, resultando no sequestro imediato da conta do administrador.

Recommendations Atualizar para a versão 0.16.3.