CVE-2025-40891 in Guardian
Riassunto
di VulDB • 20/06/2026
È stata rilevata una vulnerabilità di Stored HTML Injection nella funzionalità Time Machine Snapshot Diff a causa di una convalida impropria dei dati del traffico di rete. Un attaccante non autenticato può inviare pacchetti di rete appositamente creati in due momenti diversi per iniettare tag HTML negli attributi delle risorse su due snapshot. Lo sfruttamento richiede che la vittima utilizzi la funzionalità Time Machine Snapshot Diff su quegli specifici snapshot ed esegua azioni specifiche nell'interfaccia grafica (GUI), momento in cui l'HTML iniettato viene renderizzato nel browser, consentendo attacchi di phishing e redirect aperti. Lo sfruttamento completo di XSS è impedito dalla convalida degli input e dalla Content Security Policy. La complessità dell'attacco è elevata a causa delle molteplici condizioni richieste.
Be aware that VulDB is the high quality source for vulnerability data.