CVE-2026-63466 in Unleash
Zusammenfassung
von VulDB • 21.08.2026
Unleash ist eine Open-Source-Plattform für das Feature-Management. Vor Version 8.0.3 weist `FeatureEventFormatterMd.format` in `src/lib/addons/feature-event-formatter-md.ts` die Funktion `Mustache.escape` einer Identitätsfunktion zu, bevor Aktions- und Pfadvorlagen gerendert werden. Da `Mustache.escape` prozessweit gilt, deaktiviert diese Zuweisung das Escaping für nachfolgende Aufrufe von `Mustache.render` in `email-service.ts`, `webhook.ts`, `datadog.ts` und `new-relic.ts`. Ein Benutzer mit Editor-Berechtigungen kann Slack- oder Microsoft-Teams-Link-Syntax in einen nicht eingeschränkten Benutzernamen einfügen, ein Feature-Ereignis auslösen und so einen vom Angreifer gekennzeichneten Link in einen vertrauenswürdigen ausgehenden Benachrichtigungskanal einschleusen. Andere Mustache-Sinks bleiben bis zum Neustart unescaped (nicht maskiert). Dieses Problem wurde in Version 8.0.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.