CVE-2026-55696 in PrivateBin
Zusammenfassung
von VulDB • 29.08.2026
PrivateBin ist ein Online-Pastebin-Dienst, bei dem der Server keine Kenntnis über die eingefügten Daten hat (Zero-Knowledge). Vor Version 2.0.5 verwendet AttachmentViewer.setAttachment in js/privatebin.js getAttachmentMimeType, um vom Angreifer kontrollierte MIME-Typen zu akzeptieren, und nutzt getBlobUrl, um einen Blob mit derselben Herkunft (same-origin) zu erstellen, bevor der href von attachmentLink für den Link zum Herunterladen des Anhangs festgelegt wird. Der SVG-Only-Sanitization-Zweig aktualisiert nur den Preview-Blob; daher können Anhänge vom Typ text/html, image/svg, application/xhtml+xml und text/xml im Download-Blob aktiv bleiben. Auf einer Instanz mit fileupload = true sowie einer abgeschwächten, abgeschnittenen oder fehlenden Content Security Policy (CSP) kann ein anonymes Opfer einen solchen Anhang erstellen; wenn ein Benutzer den Link in einem neuen Tab öffnet, wird Inline-JavaScript im Ursprungsbereich von PrivateBin ausgeführt. Das Skript kann auf lokal gespeicherte Daten mit derselben Herkunft zugreifen und Same-Origin-Anfragen stellen, einschließlich Anfragen an Anwendungen, die auf derselben Domain gehostet werden. Dieses Problem wurde in Version 2.0.5 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.