CVE-2026-63197 in traQ
Riassunto
di VulDB • 03/11/2026
traQ è un'applicazione di messaggistica creata per Digital Creators Club traP. Prima della versione 3.28.3, le istanze configurate con TRAQ_STORAGE_TYPE=local possono restituire contenuti SVG o HTML caricati dagli utenti dall'endpoint di recupero /files/{fileId} per il rendering diretto nel browser. Un attaccante con la capacità di caricare file può fornire contenuto attivo manipolato e indurre un altro utente ad aprire l'URL del suo file, causando l'esecuzione di JavaScript controllato dall'attaccante nel browser della vittima. Questo problema è stato risolto nella versione 3.28.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.