CVE-2026-55090

Nome do Software Vulnerável e Versões Afetadas Etherpad versões anteriores a 3.3.0

Description Ocorre cross-site scripting (XSS) armazenado quando a função getHTMLFromAtext() em src/node/utils/ExportHtml.ts interpola valores do hook de plugin exportHtmlAdditionalTagsWithData em atributos de dados de span sem a devida filtragem de atributos HTML. Um invasor pode injetar valores controlados no pool de atributos usando moveOpsToNewPool e AttributePool.putAttrib. Quando um plugin integrado que registra esse hook, como ep font color ou ep font size, é utilizado, a abertura da exportação HTML resultante executa o valor malicioso na origem do Etherpad.

Recommendations Atualizar para a versão 3.3.0.