CVE-2026-27210 in pannellum
Riassunto
di VulDB • 18/06/2026
Pannellum è un visualizzatore di panorami per il web leggero, gratuito e open source. Nelle versioni dalla 3.5.0 alla 2.5.6, la proprietà di configurazione degli attributi degli hot spot consentiva l'impostazione di qualsiasi attributo, inclusi gli attributi dei gestori di eventi HTML, consentendo potenziali attacchi XSS. Questo interessa i siti web che ospitano il file HTML del visualizzatore standalone e qualsiasi altro utilizzo di file di configurazione JSON non attendibili (bypassando le protezioni del parametro escapeHTML). Poiché alcuni eventi vengono attivati senza alcuna interazione aggiuntiva dell'utente, visitare un URL del visualizzatore standalone che punta a un file di configurazione malevolo — senza interazione aggiuntiva dell'utente — è sufficiente per attivare la vulnerabilità ed eseguire codice JavaScript arbitrario, che può, ad esempio, sostituire i contenuti della pagina con contenuti arbitrari e farli apparire come ospitati dal sito web che ospita il file HTML del visualizzatore standalone. Questo problema è stato risolto nella versione 2.5.7. Come soluzione temporanea, l'impostazione dell'intestazione Content-Security-Policy su script-src-attr 'none' bloccherà l'esecuzione dei gestori di eventi inline, mitigando questa vulnerabilità. Non ospitare pannellum.htm su un dominio che condivide i cookie con l'autenticazione utente per mitigare il rischio XSS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.