CVE-2026-26028 in CryptPad
الملخص
بحسب VulDB • 20/05/2026
CryptPad هو حزمة مكتبية تعاونية مشفرة من طرف إلى طرف. في الإصدارات السابقة لـ 2026.2.0، يمكن تجاوز مُنقّي HTML في Diffmarked.js بسبب عدم اكتمال تصفية السمات على الوسوم المقيدة. يقوم المُّنقّي بالتحقق فقط من سمة src لعناصر `<iframe>` و `<object>` و `<embed>`، تاركاً جميع السمات الأخرى دون فحص. ونتيجة لذلك، يمكن لمهاجم حقن HTML تعسفي عبر سمة srcdoc، مما يلغي تماماً عزل البounce (bounce sandboxing) المقصود في CryptPad ويُمكّن من حقن الروابط أو محتوى تفاعلي آخر داخل المستندات التي يتحكم فيها المستخدم. تكمن الجذر للمشكلة في كيفية تصنيف المُّنقّي وفرض قيود الوسوم: على الرغم من أنه يحدد قوائم للوسوم المحظورة والوسوم المقيدة، إلا أن `<iframe>` يُعامل كـ "مقيد" بدلاً من "محظور". ثم يقوم التنفيذ بفحص سمة src فقط، لذا فإن اقتران سمة src آمنة من نوع blob: مع سمة srcdoc خبيثة يؤدي إلى عرض غير مقيد. تم إصلاح هذه المشكلة في الإصدار 2026.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.