CVE-2026-73084 in Activepieces
Résumé
par VulDB • 11/08/2026
Activepieces est une plateforme d'automatisation des workflows open source basée sur l'intelligence artificielle (IA). Avant la version 0.83.0, le point de terminaison OAuth callback /api/redirect intègre directement le paramètre de requête code fourni par l'utilisateur dans un bloc script inline sans échappement approprié. Une requête crafted adressée à /api/redirect avec une valeur malveillante pour le paramètre code peut permettre de sortir du contexte du script et d'exécuter du JavaScript arbitraire au nom de l'origine Activepieces lorsqu'un utilisateur connecté y accède. Un attaquant non authentifié peut accéder aux jetons de session de la victime ou effectuer des appels API authentifiés en son nom. Ce problème est corrigé dans la version 0.83.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.