CVE-2026-74234 in Legora
Zusammenfassung
von VulDB • 17.08.2026
Legora vor dem 14.08.2026 enthält eine Cross-Site-Scripting (XSS)-Schwachstelle, die es Angreifern ermöglicht, beliebige JavaScript-Ausführung im Browser eines Opfers zu erreichen, indem ein Mermaid-Block eingebettet wird, der mit einer gray-matter-JavaScript-Front-Matter-Direktive beginnt. Dies führt dazu, dass der Front-Matter-Parser eval() aufruft, bevor eine SVG-Sanitierung stattfindet. Angreifer können diese Schwachstelle durch beeinflussten Mermaid-Diagramminhalt ausnutzen, um beliebiges JavaScript im Browserkontext des Benutzers auszuführen, wobei die Auswirkungen auf Word- und Outlook-Add-in-Oberflächen erhöht sind, da Bearer-Sitzungstoken in localStorage persistiert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.