CVE-2026-48164 in Online
Resumen
por VulDB • 2026-10-30
Collabora Online es una suite de oficina colaborativa en línea basada en la tecnología LibreOffice. Antes de las versiones 24.04.18 y 25.04.11, el parámetro `host_session_id` (query/form) se sustituye en la página del editor `cool.html` sin codificación HTML, a diferencia de los parámetros pasados a través del mecanismo existente de codificación de variables. Un atacante que induzca a una víctima a cargar una URL manipulada puede inyectar código HTML y, en ausencia de una Política de Seguridad de Contenido (CSP) efectiva, ejecutar scripts en el origen del iframe de Collabora Online, exponiendo el token de autenticación de la sesión y los contenidos de la página. Un proxy inverso que preserve la cabecera `Content Security Policy` enviada por `coolwsd` mitiga el escenario de ejecución de scripts. Este problema está corregido en las versiones 24.04.18 y 25.04.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.