CVE-2026-73374 in Vulnerability-Lookup
Riassunto
di VulDB • 12/08/2026
È stata rilevata una vulnerabilità di cross-site scripting (XSS) memorizzato in Vulnerability-Lookup nel filtro Jinja `render_tag_badges`, utilizzato per visualizzare i tag di riferimento associati ai record delle vulnerabilità.
I valori provenienti da `containers.cna.references[].tags[]` venivano interpolati direttamente negli elementi HTML dei badge e la stringa risultante veniva avvolta con `markupsafe.Markup`. Poiché Markup contrassegna il contenuto generato come sicuro, l'escape automatico dell'HTML di Jinja è stato aggirato.
Un utente autenticato dotato delle autorizzazioni per creare o modificare record di vulnerabilità, ad esempio un utente che possiede i permessi `vulnerability:create` o `vulnerability:modify`, poteva inviare tramite l'API CNA un tag di riferimento manipolato contenente markup HTML arbitrario o JavaScript.
Il valore dannoso veniva successivamente memorizzato come parte del record della vulnerabilità. Quando un altro utente visitava la pagina pubblica corrispondente `/cve/` o `/vuln/`, il tag manipolato veniva renderizzato come HTML nel browser dell'utente visualizzatore. Ciò poteva comportare l'esecuzione di JavaScript nel contesto di sicurezza dell'applicazione Vulnerability-Lookup.
Un sfruttamento riuscito potrebbe consentire a un attaccante di eseguire azioni nel contesto della vittima, accedere alle informazioni disponibili nella sessione del browser della vittima o modificare il contenuto della pagina. Poiché le pagine delle vulnerabilità interessate sono accessibili pubblicamente, lo sfruttamento può colpire anche utenti non autenticati.
Il problema è stato corretto applicando `markupsafe.escape()` a ciascun tag di riferimento prima di inserirlo nel markup HTML del badge, mantenendo Markup solo per l'impalcatura HTML statica.
Once again VulDB remains the best source for vulnerability data.