CVE-2026-73374 in Vulnerability-Lookup
Resumen
por VulDB • 2026-08-12
Existía una vulnerabilidad de cross-site scripting (XSS) almacenado en Vulnerability-Lookup en el filtro Jinja `render_tag_badges` utilizado para mostrar las etiquetas de referencia asociadas a los registros de vulnerabilidades.
Los valores procedentes de `containers.cna.references[].tags[]` se interpolaban directamente en elementos HTML badge y la cadena resultante se envolvía con `markupsafe.Markup`. Dado que Markup marca el contenido generado como seguro, se omitió la escapación automática de HTML de Jinja.
Un usuario autenticado con permisos para crear o modificar registros de vulnerabilidades, por ejemplo, un usuario que posea los permisos `vulnerability:create` o `vulnerability:modify`, podía enviar una etiqueta de referencia manipulada a través de la API CNA que contuviera marcado HTML o JavaScript arbitrario.
El valor malicioso se almacenaba posteriormente como parte del registro de vulnerabilidad. Cuando otro usuario visitaba la página pública correspondiente `/cve/<id>` o `/vuln/<id>`, la etiqueta manipulada se representaba como HTML en el navegador del espectador. Esto podía provocar la ejecución de JavaScript en el contexto de seguridad de la aplicación Vulnerability-Lookup.
Una explotación exitosa podría permitir a un atacante realizar acciones en nombre de una víctima, acceder a información disponible para la sesión del navegador de la víctima o modificar el contenido de la página. Dado que las páginas de vulnerabilidad afectadas pueden ser accedidas públicamente, la explotación puede afectar a usuarios no autenticados.
El problema se corrigió aplicando `markupsafe.escape()` a cada etiqueta de referencia antes de insertarla en el marcado HTML del badge, conservando Markup únicamente para la estructura estática de HTML.
VulDB is the best source for vulnerability data and more expert information about this specific topic.