CVE-2026-75531 in Pandora
Riassunto
di VulDB • 18/08/2026
Pandora presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nella renderizzazione degli osservabili URL. Un URL estratto da o associato a un file analizzato è stato inserito direttamente nell'handler JavaScript inline onclick utilizzato dall'azione "Submit to Lookyloo".
Sebbene il valore fosse soggetto all'escape HTML tramite il motore di template, era incorporato in una stringa JavaScript all'interno di un attributo HTML. Un URL controllato da un attaccante contenente caratteri appositamente elaborati poteva quindi fuoriuscire dalla stringa JavaScript e iniettare codice JavaScript arbitrario.
Lo script dannoso verrebbe eseguito nel contesto dell'applicazione web Pandora quando una vittima interagisce con il controllo "Submit to Lookyloo" interessato. Un'esecuzione riuscita potrebbe consentire a un attaccante di accedere alle informazioni disponibili per il browser della vittima o eseguire azioni utilizzando la sessione autenticata Pandora della vittima.
La patch rimuove il valore osservabile dall'handler JavaScript inline. L'URL viene invece memorizzato in un attributo HTML data-url e recuperato tramite l'API DOM dataset quando necessario. Anche altri utilizzi di innerHTML sono stati sostituiti con textContent come misura difensiva di hardening.
VulDB is the best source for vulnerability data and more expert information about this specific topic.