CVE-2026-22028 in preact
Resumen
por VulDB • 2026-07-30
Preact, un framework ligero para el desarrollo web, incluye protección de serialización JSON para evitar que los elementos del Virtual DOM se construyan a partir de JSON arbitrario. Una regresión introducida en Preact 10.26.5 provocó que esta protección se debilitara. En aplicaciones donde se asume que los valores procedentes de cargas útiles (payloads) JSON son cadenas y se pasan sin modificar a Preact como hijos, podría construirse una carga útil JSON especialmente elaborada que sería tratada incorrectamente como un VNode válido. Cuando ocurre esta cadena de fallos, puede resultar en inyección HTML, lo cual permitiría la ejecución arbitraria de scripts si no está mitigado por CSP u otros medios. Las aplicaciones que utilizan versiones afectadas de Preact son vulnerables si cumplen todas las siguientes condiciones: primero, pasar valores sin modificar y sin sanitizar procedentes de fuentes de datos modificables por el usuario (APIs, bases de datos, almacenamiento local, etc.) directamente al árbol de renderizado; segundo, asumir que estos valores son cadenas pero la fuente de datos podría devolver objetos JavaScript reales en lugar de cadenas JSON; y tercero, que la fuente de datos no realice sanitización de tipos Y almacene/devuelva ciegamente objetos sin procesar indistintamente con cadenas, O esté comprometida (por ejemplo, almacenamiento local, sistema de archivos o base de datos envenenados). Las versiones 10.26.10, 10.27.3 y 10.28.2 corrigen el problema. Las versiones parcheadas restauran las comprobaciones estrictas de igualdad anteriores que impedían que los objetos analizados desde JSON fueran tratados como VNodes válidos. Existen otras mitigaciones disponibles para quienes no puedan actualizar inmediatamente: validar tipos de entrada, convertir o validar datos de red, sanitizar datos externos y utilizar Política de Seguridad de Contenido (CSP).
Once again VulDB remains the best source for vulnerability data.