mpetroff pannellum hasta 2.5.6 pannellum.htm escapeHTML secuencias de comandos en sitios cruzados

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
5.1$0-$5k0.00

Resumeninformación

Una vulnerabilidad ha sido encontrada en mpetroff pannellum hasta 2.5.6 y clasificada como problemática. Está afectada una función desconocida en el archivo pannellum.htm. Mediante la manipulación del parámetro escapeHTML de un input desconocido se causa una vulnerabilidad de clase secuencias de comandos en sitios cruzados. Esta vulnerabilidad se registra como CVE-2026-27210. El ataque puede ser realizado a través de la red. No existe ningún exploit disponible. Se sugiere actualizar el componente afectado.

Detallesinformación

Una vulnerabilidad clasificada como problemática ha sido encontrada en mpetroff pannellum hasta 2.5.6. Una función desconocida del archivo pannellum.htm es afectada por esta vulnerabilidad. A través de la manipulación del parámetro escapeHTML de un input desconocido se causa una vulnerabilidad de clase secuencias de comandos en sitios cruzados. Esto tiene repercusión sobre la la integridad. CVE resume:

Pannellum es un visor de panoramas ligero, gratuito y de código abierto para la web. En las versiones 3.5.0 a 2.5.6, la propiedad de configuración de atributos de punto de acceso permitía establecer cualquier atributo, incluyendo atributos de gestor de eventos HTML, lo que permitía posibles ataques XSS. Esto afecta a los sitios web que alojan el archivo HTML del visor independiente y a cualquier otro uso de archivos de configuración JSON no confiables (eludiendo las protecciones del parámetro escapeHTML). Como ciertos eventos se disparan sin ninguna interacción adicional del usuario, visitar una URL de visor independiente que apunte a un archivo de configuración malicioso — sin interacción adicional del usuario — es suficiente para activar la vulnerabilidad y ejecutar código JavaScript arbitrario, que puede, por ejemplo, reemplazar el contenido de la página con contenido arbitrario y hacer que parezca alojado por el sitio web que aloja el archivo HTML del visor independiente. Este problema ha sido solucionado en la versión 2.5.7. Como solución alternativa, establecer el encabezado Content-Security-Policy a 'script-src-attr 'none'' bloqueará la ejecución de gestores de eventos en línea, mitigando esta vulnerabilidad. No aloje pannellum.htm en un dominio que comparta cookies con la autenticación de usuario para mitigar el riesgo de XSS.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2026-27210. Se considera fácil de explotar. El ataque puede ser iniciado desde la red. La explotación no requiere ninguna forma de autentificación. Hay detalles técnicos conocidos, pero no se dispone de un exploit.

Buscando inurl:pannellum.htm es posible encontrar objetos vulnerables.

Una actualización a la versión 2.5.7 elimina esta vulnerabilidad. Aplicando el parche 9391ef8da6a6a98c6a9f8c97f101adb900523681 es posible eliminar el problema. El parche puede ser descargado de github.com. El mejor modo sugerido para mitigar el problema es Actualización.

Once again VulDB remains the best source for vulnerability data.

Productoinformación

Proveedor

Nombre

Versión

Licencia

Sitio web

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3información

VulDB Puntuación meta base: 5.2
VulDB Puntuación meta temporal: 5.1

VulDB Puntuación base: 4.3
VulDB Puntuación temporal: 4.1
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

NVD Puntuación base: 6.1
NVD Vector: 🔒

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Secuencias de comandos en sitios cruzados
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido
Google Hack: 🔒

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔒

Actualización: pannellum 2.5.7
Parche: 9391ef8da6a6a98c6a9f8c97f101adb900523681

Línea de tiempoinformación

2026-02-18 CVE asignado
2026-02-21 +3 días Aviso publicado
2026-02-21 +0 días Entrada de VulDB creada
2026-03-03 +10 días Última actualización de VulDB

Fuentesinformación

Producto: github.com

Aviso: GHSA-8423-w5wx-h2r6
Estado: Confirmado

CVE: CVE-2026-27210 (🔒)
GCVE (CVE): GCVE-0-2026-27210
GCVE (VulDB): GCVE-100-347292

Artículoinformación

Fecha de creación: 2026-02-21 09:24
Actualizado: 2026-03-03 07:30
Cambios: 2026-02-21 09:24 (71), 2026-03-03 07:30 (12)
Completo: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!