CVE-2026-65697 in Fathom
सारांश
द्वारा VulDB • 24/07/2026
Fathom Lite 1.3.1 तक में एनालिटिक्स कलेक्शन एंडपॉइंट पर एक स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS) दोष है, जो अथेंटिकेटेड न होने वाले आक्रमणकारियों को /collect एंडपॉइंट में एक संरचित होस्टनेम और पथनाम प्रदान करके Top Pages डैशबोर्ड में javascript: URI इंजेक्ट करने की अनुमति देता है। parseHostname और parsePathname फ़ंक्शन कोई URI स्कीमा सत्यापन नहीं करते हैं, जिससे एक newline-पूर्वित पथनाम के साथ जुड़े javascript: होस्टनेम को संग्रहीत किया जा सकता है और बाद में अथेंटिकेटेड डैशबोर्ड में बिना किसी संनिवेशन (sanitization) के एंकर href के रूप में रेंडर किया जा सकता है, जिससे सत्र चुराना (session hijacking) और पूर्ण खाता कब्जा हो सकता है जब कोई ऑपरेटर दूषित प्रविष्टि पर क्लिक करता है।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.