CVE-2026-47666

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.15.3

Description Ocorre cross-site scripting (XSS) armazenado quando nomes de famílias de fontes personalizadas são interpolados em uma regra CSS @font-face e injetados na página como HTML sem sanitização. O backend aceita uma string de família de fonte arbitrária e o frontend grava o estilo resultante usando innerHTML. Um nome malicioso contendo marcação, como uma tag de fechamento de estilo seguida por um script, pode romper o elemento de estilo para executar JavaScript na origem do Penpot. Este ataque passivo dispara a execução do script quando um membro da equipe abre um arquivo que referencia a fonte maliciosa, podendo levar ao roubo de cookies de sessão, ações realizadas em nome da vítima e acesso não autorizado a arquivos e projetos.

Recommendations Atualizar para a versão 2.15.3.