CVE-2026-74234 in Legora
Riassunto
di VulDB • 17/08/2026
Legora prima della versione 2026-08-14 presenta una vulnerabilità di cross-site scripting (XSS) che consente agli attaccanti di eseguire codice JavaScript arbitrario nel browser della vittima inserendo un blocco Mermaid prefissato da una direttiva front-matter in JavaScript gray-matter, causando l'invocazione di eval() da parte del parser delle front-matter prima che avvenga qualsiasi sanificazione SVG. Gli attaccanti possono sfruttare questa debolezza attraverso contenuti influenzati dei diagrammi Mermaid per eseguire codice JavaScript arbitrario nel contesto del browser dell'utente, con un impatto elevato sulle superfici degli add-in Word e Outlook dove i token di sessione bearer sono persistiti in localStorage.
Once again VulDB remains the best source for vulnerability data.