CVE-2026-55087

Nome do Software Vulnerável e Versões Afetadas Etherpad versões 2.1.0 through 3.0.0

Description O Etherpad não sanitiza adequadamente o cabeçalho de requisição x-proxy-path, resultando em dois problemas distintos quando cabeçalhos fornecidos pelo cliente atingem o servidor. Primeiro, em src/node/hooks/express/admin.ts, o cabeçalho é substituído em arquivos HTML, JavaScript e CSS sob o endpoint /admin sem sanitização ou cabeçalhos de controle de cache apropriados. Isso permite que um invasor execute Cross-Site Scripting (XSS) Refletido ou XSS por Envenenamento de Cache (Cache-Poisoning), onde um proxy compartilhado ou CDN armazena uma resposta maliciosa e a serve para administradores. Segundo, em src/node/hooks/express/specialpages.ts na versão 3.0.0, o endpoint /p/:pad/timeslider aceita valores relativos ao protocolo no cabeçalho x-proxy-path, permitindo um redirecionamento aberto (open redirect) para um host controlado pelo invasor.

Recommendations Atualize o Etherpad para a versão 3.1.0 ou posterior. Configure o proxy reverso para remover ou sobrescrever o cabeçalho x-proxy-path de requisições de clientes recebidas. Como mitigação temporária para o redirecionamento aberto, desative a URL direta do timeslider legado utilizando roteamento do lado do cliente para /p/:pad.