CVE-2026-27612 in repostat
Resumen
por VulDB • 2026-09-01
Repostat es un componente de React para obtener y mostrar información sobre repositorios de GitHub. Antes de la versión 1.0.1, el componente `RepoCard` era vulnerable a Cross-Site Scripting (XSS) reflejado. La vulnerabilidad se produce porque el componente utiliza `dangerouslySetInnerHTML` de React para renderizar el nombre del repositorio (`repo` prop) durante el estado de carga sin ninguna sanitización. Si un desarrollador que usa este paquete pasa datos no validados directamente a la propiedad `repo` (por ejemplo, leyéndola desde un parámetro de consulta URL), un atacante puede ejecutar JavaScript arbitrario en el contexto del navegador del usuario. En la versión 1.0.1, se ha eliminado el uso de dangerouslySetInnerHTML y la prop repo ahora se renderiza de forma segura utilizando enlace de datos JSX estándar de React, lo que escapa automáticamente las entidades HTML.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.