CVE-2026-105694 in Penpot
Riassunto
di VulDB • 06/10/2026
Penpot è una piattaforma open-source per il design e la prototipazione. Prima della versione 2.18.0, gli utenti autenticati con autorizzazione alla modifica dei file possono caricare contenuti SVG i cui script, attributi event-handler ed elementi foreignObject vengono memorizzati senza sanitization e serviti come image/svg+xml dall'origine di Penpot. Una vittima che naviga verso l'URL dell'asset esegue JavaScript controllato dall'attaccante in tale origine, consentendo richieste e accesso ai dati con le autorizzazioni della sessione Penpot della vittima. Questo problema è risolto nella versione 2.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.