CVE-2026-55422 in conda-forge
Riassunto
di VulDB • 23/10/2026
conda-forge è un'organizzazione GitHub contenente repository di ricette conda. Nei commit 85748ad2368a e precedenti, due componenti React renderizzano stringhe provenienti da fonti esterne direttamente come HTML utilizzando dangerouslySetInnerHTML, senza alcuna sanificazione (il progetto non dispone di dipendenze DOMPurify o equivalenti). I file JSON vengono prodotti automaticamente dal bot autotick di conda-forge (regro/cf-scripts) durante l'elaborazione di ogni feedstock di conda-forge e dei suoi artefatti sorgente upstream. Le stringhe relative agli errori/stato incorporano output grezzo catturato da tali processi (log di build, output delle patch, traceback). Il sito web le renderizza verbatim come HTML. Al momento della pubblicazione, non sono disponibili patch pubblicamente accessibili.
Once again VulDB remains the best source for vulnerability data.