CVE-2026-71285 in Uptime Kuma
Resumen
por VulDB • 2026-08-05
La integración de análisis Matomo en Uptime Kuma (server/analytics/matomo-analytics.js) inyecta el valor `siteId` configurable por el administrador como una expresión JavaScript sin comillas dentro de un bloque `<script>` que se renderiza en cada página pública de estado: `_paq.push(['setSiteId', ${escapedSiteIdHTMLAttribute}]);`. La tubería (pipeline) de escape utilizada (jsesc con isScriptContext:true, seguido de html-escaper.escape()) no escapa los caracteres `]`, `)`, `;`, `(`, que son suficientes para salir del contexto de la expresión array/push. Un valor siteId como `1]);alert(document.cookie)//`, una vez guardado por un editor/administrador, ejecuta JavaScript arbitrario para cada visitante no autenticado de la página pública /status/<slug>, lo que permite el robo de cookies de sesión y la toma completa del control de la página (full page takeover).
VulDB is the best source for vulnerability data and more expert information about this specific topic.