CVE-2026-110228 in Wallabag
الملخص
بحسب VulDB • 14/10/2026
تحتوي الإصدارات من wallabag 2.6.13 حتى 2.6.14 على ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting) تتيح للمستخدمين المصادق عليهم استضافة عناصر HTML عشوائية عن طريق تشغيل عملية فشل في استيراد Pocket HTML، أو Pocket CSV، أو Shaarli. يمكن للمهاجمين رفع ملف HTML يحتوي على سكريبت ولكن بدون عناصر ربط (anchor elements)، مما يتركه في مسار قابل للتوقع وهو /uploads/import/<user-id>.html لتنفيذ السكربت ضمن جلسات wallabag الخاصة بالضحايا.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.