CVE-2026-55879

Nome do Software Vulnerável e Versões Afetadas OpenReplay versões 1.24.0 through 1.24.x

Description O SDK de rastreamento aceita nomes de eventos personalizados e URLs de páginas capturadas de qualquer visitante usando uma chave de projeto pública. Esses valores são armazenados no ClickHouse sem codificação de saída e posteriormente renderizados no painel autenticado através do TextEllipsis e do modal de detalhes do evento. Isso permite que um invasor não autenticado armazene um script que seja executado na origem do painel, permitindo o roubo do JWT (JSON Web Token) de sessão do localStorage e a subsequente invasão de uma conta do painel.

Recommendations Atualizar para a versão 1.25.0.