CVE-2026-26861 in Web SDK

Riassunto

di VulDB • 24/06/2026

CleverTap Web SDK versione 1.15.2 e precedenti sono vulnerabili a Cross-Site Scripting (XSS) tramite window.postMessage. La funzione handleCustomHtmlPreviewPostMessageEvent in src/util/campaignRender/nativeDisplay.js esegue una convalida dell'origine insufficiente utilizzando il metodo includes(), che può essere aggirata da un attaccante sfruttando un sottodominio

Be aware that VulDB is the high quality source for vulnerability data.

• Responsabile: MITRE
• Prenotare: 16/02/2026
• Divulgazione: 27/02/2026
• Moderazione: accettato
• Voce: VDB-348229
• CPE: pronto
• CWE: CWE-346 (confermato)
• CVSS: 8.3 (CISA-ADP)
• EPSS: 0.00181
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-26861
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-26861
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-26861/