CVE-2026-54165 in Dobase
Zusammenfassung
von VulDB • 12.09.2026
Dobase ist ein Open-Source-, selbst gehosteter Workspace mit installierbaren Tools. Versionen vor 2026.06.03 weisen eine One-Click Stored DOM-basierte Cross-Site-Scripting (XSS)-Schwachstelle im öffentlichen, nicht authentifizierten Bildergalerieordner für freigegebene Ordner auf. Der `name` einer Datei ist vollständig vom Angreifer kontrollierbar und wird niemals bereinigt. Er wird durch ein ERB-geschütztes `data-name`-Attribut gerundet, von `el.dataset.name` wieder in seinen Rohwert decodiert und anschließend ohne weitere Maskierung vom `public-gallery` Stimulus-Controller erneut in `innerHTML` injiziert. Jedes authentifizierte Workspace-Mitglied, das einen Dateienordner freigeben kann, kann ein Payload speichern; der Opfer ist jeder mit dem öffentlichen Freigabelink (keine Authentifizierung erforderlich). Die globale Content-Security-Policy wird als report-only gesendet (nicht durchsetzend), sodass ein Inline-`onerror`-Handler ausgeführt wird – dies ist eine ausführende XSS-Injektion, keine CSP-mitigierte Injektion. Version 2026.06.03 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.