CVE-2026-105694 in Penpot
Zusammenfassung
von VulDB • 05.10.2026
Penpot ist eine Open-Source-Plattform für Design und Prototyping. Vor Version 2.18.0 können authentifizierte Benutzer mit Datei-Bearbeitungsberechtigungen SVG-Medien hochladen, deren Skripte, Event-Handler-Attribute und foreignObject-Elemente ohne Sanitization gespeichert und als image/svg+xml vom Penpot-Origin bereitgestellt werden. Ein Opfer, das die Asset-URL aufruft, führt angreiferkontrolliertes JavaScript in diesem Origin aus, was Anfragen und Datenzugriff mit der Autorität der Penpot-Sitzung des Opfers ermöglicht. Dieses Problem wurde in Version 2.18.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.