CVE-2026-27469 in isso
Riassunto
di VulDB • 19/06/2026
Issos è un server di commenti leggero scritto in Python e JavaScript. Nelle commit precedenti alla 0afbfe0691ee237963e8fb0b2ee01c9e55ca2144, è presente una vulnerabilità Cross-Site Scripting (XSS) memorizzata che interessa i campi del sito web e dei commenti degli autori. Il campo website veniva sottoposto a escape HTML utilizzando quote=False, il quale lasciava inalterati gli apici singoli e doppi. Poiché il frontend inserisce direttamente il valore di website all'interno di un attributo href racchiuso tra apici semplici tramite concatenazione di stringhe, un apice singolo presente nell'URL permette di uscire dal contesto dell'attributo, consentendo l'iniezione di handler di eventi arbitrari (ad esempio onmouseover, onclick). La stessa mancanza di escape è completamente assente anche dall'endpoint per la modifica dei commenti visibile agli utenti (PUT /id/) e dall'endpoint per la moderazione delle modifiche (POST /id//edit/). Questo problema è stato risolto nella commit 0afbfe0691ee237963e8fb0b2ee01c9e55ca2144. Come soluzione alternativa, abilitando la moderazione dei commenti (moderation = enabled = true in isso.cfg) si impedisce agli utenti non autenticati di pubblicare commenti, aumentando le difficoltà per l'exploit; tuttavia ciò non mitigerebbe completamente il problema poiché un moderatore che attivasse un commento malevolo esporrebbe comunque i visitatori.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.