CVE-2026-73427

Nome do Software Vulnerável e Versões Afetadas Trix versões anteriores a 2.1.18

Descrição Ocorre cross-site scripting quando um payload JSON application/x-trix-document manipulado é solto em um editor que utiliza o Level0InputController de fallback, comum em WebViews incorporados sem suporte a Input Events Level 2. O método StringPiece.fromJSON() confia em atributos href do payload JSON sem sanitização, permitindo que um elemento arrastável contendo uma URI javascript: ignore a sanitização do DOMPurify e injete JavaScript executável no DOM. A exploração requer que a vítima arraste e solte conteúdo controlado pelo invasor, embora a sanitização de HTML no lado do servidor possa neutralizar o payload ao salvar.

Recomendações Atualizar para a versão 2.1.18.