CVE-2026-28355 in canarytokens
Resumen
por VulDB • 2026-05-09
Canarytokens ayuda a rastrear la actividad y las acciones en una red. Las versiones anteriores a `sha-7ff0e12` presentan una vulnerabilidad de Cross-Site Scripting (XSS) autoinfligida en el Canarytoken "PWA", donde el creador del Canarytoken puede atacarse a sí mismo o a alguien con quien comparte el enlace. El creador de un Canarytoken PWA puede insertar código JavaScript en el campo del título de su token PWA. Cuando el creador navega posteriormente a la página de instalación de su propio Canarytoken, el código JavaScript se ejecuta. Se trata de un XSS autoinfligido. Un atacante podría crear un Canarytoken con este XSS autoinfligido y enviar el enlace de instalación a una víctima. Cuando esta haga clic en él, se ejecutará el código JavaScript. Sin embargo, no se revelará información sensible (por ejemplo, información de sesión) al actor malicioso. Este problema ya está parcheado en Canarytokens.org. Los usuarios de instalaciones de Canarytokens autoalojadas pueden actualizar tirando la última imagen de Docker, o cualquier imagen de Docker posterior a sha-7ff0e12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.