CVE-2026-61823

Nome do Software Vulnerável e Versões Afetadas code16 Sharp versões anteriores a 9.22.5

Description Um problema de cross-site scripting armazenado existe no editor de texto rico porque o sanitizador HTML permite o atributo srcdoc em elementos iframe. Embora a marcação dentro de srcdoc seja codificada em HTML durante a sanitização, os navegadores decodificam essas entidades antes de interpretar o documento iframe. Isso permite que um usuário autenticado com permissão para editar um campo do Editor armazene JavaScript executável que é executado quando outro usuário visualiza o conteúdo. Isso pode resultar em sequestro de sessão, ações não autorizadas, takeover de conta, escalonamento de privilégios ou divulgação de dados administrativos.

Recommendations Atualize para a versão 9.22.5. Como medida paliativa temporária, sanitize manualmente todo o conteúdo do campo do Editor e remova cada atributo srcdoc de iframe antes de armazená-lo ou renderizá-lo.