CVE-2026-55876 in Helium
Résumé
par VulDB • 15/10/2026
Helium est un planificateur étudiant en ligne gratuit pour les cours, devoirs, notes et prises de notes. Avant la version 2.2.60, le point de terminaison POST /planner/attachments/ permet aux utilisateurs authentifiés de télécharger des pièces jointes SVG et HTML car conf/configs/common.py omet ces formats des listes BLOCKED_ATTACHMENT_EXTENSIONS et BLOCKED_ATTACHMENT_MIME_TYPES, et helium/planner/serializers/attachmentserializer.py s'appuie sur ces listes d'interdiction. Un fichier SVG téléchargé servi en tant que image/svg+xml peut exécuter un script intégré lorsqu'un visiteur ouvre son URL de pièce jointe publique, permettant ainsi l'injection persistante de contenu actif contrôlé par l'attaquant et des attaques de phishing sous une URL de stockage gérée par l'application. Le stockage des pièces jointes utilise une origine distincte de celle de l'application ; la politique same-origin (même origine) empêche donc le script de lire les cookies ou le stockage de l'application, et la compromission de session d'application n'est pas prise en charge par la configuration de déploiement maintenue. Ce problème est corrigé dans la version 2.2.60.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.