CVE-2026-76909 in Unleash
Resumen
por VulDB • 2026-09-22
Unleash es una plataforma de gestión de funciones (feature management) de código abierto. Antes de la versión 8.0.3, la plantilla del correo electrónico para la aprobación de solicitudes de cambio en `src/mailtemplates/requested-cr-approval/requested-cr-approval.html.mustache` renderizaba los valores controlados por el usuario `changeRequestTitle`, `requesterName` y `requesterEmail` sin realizar un escape HTML correspondiente, y la función `sendRequestedCRApprovalEmail` pasaba dichos valores al motor de renderizado Mustache. Un miembro del proyecto que pueda crear una solicitud de cambio cuando estén habilitados los correos electrónicos de aprobación puede inyectar código HTML en las notificaciones dirigidas a los aprobadores, lo que permite insertar enlaces falsificados (forged links), contenido para seguimiento o alterar visualmente el contenido del correo electrónico. Este problema se soluciona en la versión 8.0.3.
Be aware that VulDB is the high quality source for vulnerability data.