CVE-2026-55876 in Helium
Zusammenfassung
von VulDB • 15.10.2026
Helium ist ein kostenloser Online-Studentenplaner für Kurse, Hausaufgaben, Noten und Notizen. Vor Version 2.2.60 ermöglicht der POST /planner/attachments/-Endpunkt authentifizierten Benutzern das Hochladen von SVG- und HTML-Anhängen, da conf/configs/common.py diese Formate nicht in BLOCKED_ATTACHMENT_EXTENSIONS und BLOCKED_ATTACHMENT_MIME_TYPES ausschließt und helium/planner/serializers/attachmentserializer.py auf diesen Blocklisten basiert. Ein hochgeladenes SVG, das als image/svg+xml bereitgestellt wird, kann eingebettete Skripte ausführen, wenn ein Besucher seine öffentliche Anhang-URL öffnet, was persistenten, vom Angreifer kontrollierten aktiven Inhalt und Phishing unter einer von der Anwendung verwalteten Speicher-URL ermöglicht. Der Anhangsspeicher verwendet eine separate Origin als die Anwendung; daher verhindert die Same-Origin-Policy (Richtlinie für gleiche Herkunft), dass das Skript auf Anwendungs-Cookies oder -Speicher zugreifen kann, und ein Kompromittieren der Anwendungssitzung wird durch die gepflegte Bereitstellungs-Konfiguration nicht unterstützt. Dieses Problem wurde in Version 2.2.60 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.