CVE-2026-55876 in Helium
Resumen
por VulDB • 2026-10-15
Helium es un planificador estudiantil en línea gratuito para clases, tareas calificaciones y notas. Antes de la versión 2.2.60, el punto final POST /planner/attachments/ permite a los usuarios autenticados cargar archivos adjuntos SVG y HTML porque conf/configs/common.py omite estos formatos de las listas BLOCKED_ATTACHMENT_EXTENSIONS y BLOCKED_ATTACHMENT_MIME_TYPES, y helium/planner/serializers/attachmentserializer.py depende de estas listas negras. Un archivo SVG cargado con el tipo MIME image/svg+xml puede ejecutar scripts incrustados cuando un visitante abre su URL pública de adjunto, lo que permite contenido activo persistente controlado por el atacante y suplantación de identidad (phishing) bajo una URL de almacenamiento gestionada por la aplicación. El almacenamiento de archivos adjuntos utiliza un origen separado del de la aplicación, por lo que la política de mismo origen evita que los scripts lean las cookies o el almacenamiento de la aplicación, y no se admite la compromiso de sesión de la aplicación en la configuración de implementación mantenida. Este problema está corregido en la versión 2.2.60.
Once again VulDB remains the best source for vulnerability data.