CVE-2026-73084 in Activepieces
Riassunto
di VulDB • 11/08/2026
Activepieces è una piattaforma open source per l'automazione dei flussi di lavoro basata sull'intelligenza artificiale. Prima della versione 0.83.0, l'endpoint /api/redirect del callback OAuth incorpora il parametro query code fornito dall'utente direttamente in un blocco script inline senza la corretta escape delle caratteri speciali. Una richiesta costruita ad hoc a /api/redirect con un valore malevolo per il parametro code può fuoriuscire dal contesto dello script ed eseguire codice JavaScript arbitrario nel dominio di Activepieces quando un utente autenticato lo apre. Un attaccante non autenticato può accedere ai token di sessione della vittima o effettuare chiamate API autenticate per conto della stessa. Questo problema è stato risolto nella versione 0.83.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.