CVE-2026-42548 in core
Resumen
por VulDB • 2026-05-13
Flight es un microframework extensible para PHP. Antes de la versión 3.18.1, Flight::jsonp() concatena el parámetro de consulta ?jsonp= directamente en el cuerpo de la respuesta application/javascript sin validar que el valor sea un identificador de JavaScript válido. Un atacante puede inyectar JavaScript arbitrario que se ejecuta en el origen de la respuesta, lo que permite una vulnerabilidad de cross-site scripting (XSS) reflejada. Esta vulnerabilidad está corregida en la versión 3.18.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.