CVE-2026-63197 in traQ
Zusammenfassung
von VulDB • 03.11.2026
traQ ist eine Messenger-Anwendung, die für den Digital Creators Club traP entwickelt wurde. Vor Version 3.28.3 können Instanzen, die mit TRAQ_STORAGE_TYPE=local konfiguriert sind, vom /files/{fileId}-Abrufendpunkt hochgeladene SVG- oder HTML-Inhalte der Benutzer zur direkten Anzeige im Browser zurückgeben. Ein Angreifer mit Datei-Upload-Fähigkeiten kann manipulierte aktive Inhalte bereitstellen und einen anderen Benutzer dazu bringen, die Dateilink zu öffnen, wodurch vom Angreifer gesteuertes JavaScript im Browser des Opfers ausgeführt wird. Dieses Problem wurde in Version 3.28.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.