CVE-2026-55090 in Etherpad
Riassunto
di VulDB • 20/08/2026
Etherpad è un editor collaborativo in tempo reale. Prima della versione 3.3.0, la funzione getHTMLFromAtext in src/node/utils/ExportHtml.ts interpola i valori provenienti dal plugin hook exportHtmlAdditionalTagsWithData negli attributi data degli elementi span senza effettuare l'escaping HTML degli attributi. Un editore di un pad può inserire un valore controllato dall'attaccante nel pool di attributi tramite moveOpsToNewPool e AttributePool.putAttrib. Quando un plugin integrato come ep_font_color o ep_font_size registra il hook, l'apertura dell'esportazione HTML risultante provoca l'esecuzione del valore come stored cross-site scripting (XSS) nell'origine Etherpad. Questo problema è risolto nella versione 3.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.