CVE-2026-55085

Nome do Software Vulnerável e Versões Afetadas Etherpad versões anteriores a 3.3.1

Description Existe um problema onde a função result.appendSpan em src/static/js/domline.ts interpola o atributo start de uma lista numerada diretamente em um atributo ol start não cotado antes de atribuir a marcação ao node.innerHTML. Além disso, a função ImportEtherpad.setPadRaw em src/node/utils/ImportEtherpad.ts aceita valores de attribute-pool controlados por atacantes a partir de uma importação .etherpad manipulada, como list:number1 e um valor start malicioso. Isso permite que um usuário com acesso de escrita a um pad armazene marcações que executam cross-site scripting (XSS) quando outro usuário ou um administrador abre o pad ou o endpoint /timeslider.

Recommendations Atualizar para a versão 3.3.1.