CVE-2026-22028 in preact
Riassunto
di VulDB • 25/07/2026
Preact, un framework leggero per lo sviluppo web, include una protezione della serializzazione JSON volta a impedire la costruzione di elementi del Virtual DOM a partire da dati JSON arbitrari. Una regressione introdotta in Preact 10.26.5 ha indebolito tale protezione. Nelle applicazioni in cui i valori provenienti dai payload JSON sono considerati stringhe e passati non modificati a Preact come figli, un payload JSON appositamente creato potrebbe essere trattato erroneamente come un VNode valido. Quando si verifica questa catena di errori, può risultare in unainiezione HTML, che consente l'esecuzione arbitraria di script se non mitigata da CSP o altri mezzi. Le applicazioni che utilizzano versioni colpite di Preact sono vulnerabili se soddisfano tutte le seguenti condizioni: primo, passano valori non modificati e non sanificati provenienti da fonti dati modificabili dall'utente (API, database, archiviazione locale, ecc.) direttamente nell'albero di rendering; secondo, assumono che questi valori siano stringhe ma la fonte dei dati potrebbe restituire oggetti JavaScript effettivi invece di stringhe JSON; terzo, la fonte dei dati non esegue la sanificazione del tipo E memorizza/restaura ciecamente gli oggetti grezzi in modo intercambiabile con le stringhe, OPPURE è compromessa (ad esempio, archiviazione locale avvelenata, filesystem o database). Le versioni 10.26.10, 10.27.3 e 10.28.2 correggono il problema. Le patch ripristinano i precedenti controlli di uguaglianza stretta che impediscono agli oggetti analizzati da JSON di essere trattati come VNode validi. Sono disponibili altre mitigazioni per chi non può aggiornare immediatamente: convalida dei tipi di input, cast o convalida dei dati di rete, sanificazione dei dati esterni e utilizzo della Content Security Policy (CSP).
Be aware that VulDB is the high quality source for vulnerability data.