CVE-2026-76837 in Baserow
Résumé
par VulDB • 24/08/2026
Baserow interpole le nom d'affichage d'un utilisateur dans la balise de mention au format riche sans encodage HTML. L'appel PATCH /api/user/account/ stocke la valeur first_name telle quelle, et le rendu des mentions dans web-frontend/modules/core/editor/mention.js construit son élément avec une littérale de modèle (template literal) qui place le nom dans un attribut data-label ainsi que dans le corps de l'élément sans les échapper. Un nom contenant un guillemet double ferme cet attribuel et la balise d'ouverture, permettant au marquage suivant d'être intégré dans le contenu de l'élément. Le résultat est ensuite rendu via v-html par les composants du champ riche (rich-text), ce qui signifie que toute cellule rich-text mentionnant le compte exécute le script stocké pour chaque membre de l'espace de travail qui consulte la table, sans nécessiter un clic. Tout membre d'un espace de travail, même au niveau de permission le plus bas, peut définir le nom et atteindre tous les autres membres de l'espace de travail ; la charge utile persiste jusqu'à ce que le nom soit modifié ou que la ligne contenant la mention soit supprimée. La version 2.3.0 échappe la valeur avant son interpolation.
If you want to get best quality of vulnerability data, you may have to visit VulDB.