CVE-2026-73428

Nome do Software Vulnerável e Versões Afetadas Trix versões anteriores a 2.1.18

Description O Trix é vulnerável a cross-site scripting (XSS) armazenado quando HTML manipulado é colado no editor. O HTMLParser processa um anexo simulado em um <span> com um valor data-trix-attachment vazio, fazendo com que data-trix-attributes sejam aplicados a um fragmento de string simples. A função StringPiece.fromJSON() aceita um href não validado, permitindo que uma URI javascript: entre no modelo de documento e no HTML serializado, sendo executada quando outro usuário renderiza e clica no conteúdo.

Recommendations Atualize para a versão 2.1.18. Aplique a sanitização de HTML no lado do servidor para neutralizar as cargas úteis ao salvar.