CVE-2026-65697

Nome do Software Vulnerável e Versões Afetadas Fathom Lite versões anteriores a 1.3.2

Description Um problema de cross-site scripting armazenado existe no endpoint de coleta de análises. Atacantes não autenticados podem injetar uma URI javascript: no painel Top Pages enviando um hostname e um pathname manipulados para o endpoint /collect. Isso ocorre porque as funções parseHostname() e parsePathname() não realizam a validação do esquema da URI. Consequentemente, um hostname javascript: e um pathname prefixado com quebra de linha podem ser armazenados e posteriormente renderizados como um anchor href no painel autenticado sem sanitização. Isso pode levar ao sequestro de sessão e ao controle total da conta se um operador clicar na entrada maliciosa.

Recommendations Atualize o Fathom Lite para a versão 1.3.2 ou posterior.