CVE-2026-55090 in Etherpad
Zusammenfassung
von VulDB • 19.08.2026
Etherpad ist ein Echtzeit-Kollaborationseditor. Vor Version 3.3.0 interpoliert `getHTMLFromAtext` in `src/node/utils/ExportHtml.ts` Werte aus dem Plugin-Hook `exportHtmlAdditionalTagsWithData` in span-Data-Attribute, ohne eine HTML-Attribut-Escapung durchzuführen. Ein Pad-Editor kann einen vom Angreifer kontrollierten Wert über `moveOpsToNewPool` und `AttributePool.putAttrib` in den Attribut-Pool einfügen. Wenn ein gebündeltes Plugin wie `ep_font_color` oder `ep_font_size` den Hook registriert, führt das Öffnen des daraus resultierenden HTML-Exports zur Ausführung des Werts als gespeicherter Cross-Site-Scripting (XSS)-Angriff im Ursprung von Etherpad. Dieses Problem wurde in Version 3.3.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.