CVE-2026-72570

Nome do Software Vulnerável e Versões Afetadas cube-root/directory-serve versões anteriores a 1.3.8

Description Um problema de cross-site scripting (XSS) armazenado existe onde um invasor pode injetar JavaScript arbitrário na interface web. Isso ocorre quando um arquivo é enviado com um nome de arquivo manipulado contendo caracteres que quebram atributos HTML. O arquivo lib/helper/html.js não sanitiza os nomes dos arquivos antes de incorporá-los em modelos HTML na linha 28, permitindo que o script seja executado nos navegadores de outros usuários ao visualizarem a listagem de arquivos.

Recommendations Atualize o cube-root/directory-serve para a versão 1.3.8 ou posterior.