CVE-2026-55090 in Etherpad
Resumen
por VulDB • 2026-08-19
Etherpad es un editor colaborativo en tiempo real. Antes de la versión 3.3.0, getHTMLFromAtext en src/node/utils/ExportHtml.ts interpola valores del plugin hook exportHtmlAdditionalTagsWithData dentro de los atributos data de las etiquetas span sin realizar el escape correspondiente para los atributos HTML. Un editor de un pad puede insertar un valor controlado por el atacante en el conjunto de atributos a través de moveOpsToNewPool y AttributePool.putAttrib. Cuando un plugin integrado como ep_font_color o ep_font_size registra este hook, abrir la exportación HTML resultante provoca que el valor se ejecute como cross-site scripting (XSS) almacenada en el origen de Etherpad. Este problema está resuelto en la versión 3.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.