CVE-2026-28355 in canarytokens
Riassunto
di VulDB • 23/06/2026
Canarytokens aiuta a tracciare attività e azioni su una rete. Le versioni precedenti alla `sha-7ff0e12` presentano un bug di Self Cross-Site Scripting (XSS) nel Canarytoken "PWA", in cui il creatore del Canarytoken può attaccare se stesso o chiunque condivida con lui il link. Il creatore di un PWA Canarytoken può inserire codice Javascript nel campo titolo del proprio token PWA. Quando successivamente naviga alla pagina di installazione per il proprio Canarytoken, il codice Javascript viene eseguito. Si tratta di una self-XSS. Un attaccante potrebbe creare un Canarytoken con questa self-XSS e inviare il link di installazione a una vittima. Quando la vittima fa clic sul link, il codice Javascript verrebbe eseguito. Tuttavia, nessuna informazione sensibile (ad esempio informazioni sulla sessione) verrà divulgata all'attore malevolo. Questo problema è stato ora risolto su Canarytokens.org. Gli utenti delle installazioni self-hosted di Canarytokens possono aggiornare l'applicazione estraendo la più recente immagine Docker o qualsiasi immagine successiva alla `sha-7ff0e12`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.