CVE-2026-63197 in traQ
Resumen
por VulDB • 2026-11-03
traQ es una aplicación de mensajería diseñada para el Club Digital Creators traP. Antes de la versión 3.28.3, las instancias configuradas con TRAQ_STORAGE_TYPE=local pueden devolver contenido SVG o HTML subido por los usuarios desde el punto de acceso /files/{fileId} para su renderizado directo en el navegador. Un atacante con capacidad de carga de archivos puede proporcionar contenido activo manipulado y inducir a otro usuario a abrir la URL del archivo, lo que provoca la ejecución de JavaScript controlado por el atacante en el navegador de la víctima. Este problema se soluciona en la versión 3.28.3.
Be aware that VulDB is the high quality source for vulnerability data.