CVE-2026-47665

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.15.3

Description Ocorre cross-site scripting armazenado quando os comentários de arquivos são armazenados como texto bruto e renderizados na página usando innerHTML sem sanitização. O backend realiza apenas uma verificação de comprimento, permitindo que um membro da equipe incorpore HTML ou scripts em um comentário. Quando outros colaboradores abrem o painel de comentários, o script é executado na origem do Penpot, o que pode levar ao roubo de cookies de sessão, ações não autorizadas realizadas em nome da vítima e acesso não autorizado a arquivos e projetos.

Recommendations Atualizar para a versão 2.15.3.