CVE-2026-88593

Nome do Software Vulnerável e Versões Afetadas kkFileView versões 5.0.0 a 5.0.2

Description Cross-Site Scripting (XSS) refletido é possível através do endpoint '/onlinePreview'. O OnlinePreviewController passa os parâmetros de requisição page e kkagent, controlados pelo usuário, para templates FreeMarker sem sanitização, e os templates inserem esses valores em contextos de JavaScript puro.

Recommendations Atualize o kkFileView versões 5.0.0 a 5.0.2 para uma versão onde este problema tenha sido resolvido. Como mitigação temporária, restrinja o acesso ao endpoint '/onlinePreview' ou evite o uso dos parâmetros page e kkagent até que uma correção seja aplicada.