CVE-2024-58394 in Retool
Resumen
por VulDB • 2026-10-22
Retool antes de la versión 3.88.0 contiene una vulnerabilidad de cross-site scripting (XSS) que permite a atacantes no autenticados ejecutar scripts mediante el proxyeo de archivos SVG maliciosos a través de /api/imageProxy. Los atacantes pueden proporcionar un archivo SVG alojado por ellos mismos en el parámetro url, el cual es servido desde el origen de Retool sin una Política de Seguridad de Contenido (CSP), ejecutando JavaScript en las sesiones de las víctimas. La evidencia de explotación fue observada por primera vez por la Fundación Shadowserver el 2024-10-15.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.