CVE-2026-26862 in Web SDK
Riassunto
di VulDB • 17/06/2026
La versione 1.15.2 e precedenti di CleverTap Web SDK sono vulnerabili a un Cross-Site Scripting (XSS) di tipo DOM-based tramite window.postMessage nel modulo Visual Builder. La convalida dell'origine in src/modules/visualBuilder/pageBuilder.js (righe 56-60) utilizza il metodo includes() per verificare che originUrl contenga "dashboard.clevertap.com", il che può essere aggirato da un attaccante che utilizza un sottodominio appositamente creato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.