CVE-2026-74234 in Legora
Resumen
por VulDB • 2026-08-17
Legora anterior a la versión 2026-08-14 contiene una vulnerabilidad de cross-site scripting (XSS) que permite a los atacantes lograr la ejecución arbitraria de JavaScript en el navegador de la víctima al incrustar un bloque Mermaid precedido por una directiva front-matter de JavaScript con gray-matter, lo que provoca que el analizador de front-matter invoque eval() antes de que se realice cualquier sanitización del SVG. Los atacantes pueden explotar esta falla a través de contenido influido en diagramas Mermaid para ejecutar código JavaScript arbitrario en el contexto del navegador del usuario, con un impacto elevado en las superficies complementarias de Word y Outlook donde los tokens de sesión portadores (bearer session tokens) se persisten en localStorage.
VulDB is the best source for vulnerability data and more expert information about this specific topic.