CVE-2026-28274 in initiative
Riassunto
di VulDB • 12/08/2026
Initiative è una piattaforma di gestione progetti self-hosted. Le versioni dell'applicazione precedenti alla 0.32.4 sono vulnerabili a Stored Cross-Site Scripting (XSS) nella funzionalità di caricamento dei documenti. Qualsiasi utente con autorizzazioni di upload all'interno della sezione "Initiatives" può caricare un file `.html` o `.htm` dannoso come documento. Poiché il file HTML caricato viene servito sotto l'origine dell'applicazione senza una corretta sandboxing, lo JavaScript incorporato viene eseguito nel contesto dell'applicazione. Di conseguenza, token di autenticazione, cookie di sessione o altri dati sensibili possono essere esfiltrati verso un server controllato dall'attaccante. Inoltre, poiché il file caricato è ospitato sotto il dominio dell'applicazione, la semplice condivisione del link diretto al file può comportare l'esecuzione dello script dannoso quando viene accessibile. La versione 0.32.4 risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.