CVE-2026-91127 in file-viewer
Riassunto
di VulDB • 18/09/2026
File Viewer è un visualizzatore nativo per il browser destinato a documenti Office, PDF, CAD, archivi e altri file all'interno di applicazioni web private o interne. Prima delle versioni @file-viewer/doc 2.3.1 e msdoc-viewer 0.2.2, il renderer legacy DOC generava target IPERLINK controllati dal documento nell'HTML prodotto dopo la caratterizzazione (escaping), ma senza limitare gli schemi URL. Un file legacy DOC appositamente creato poteva inserire uno schema non sicuro come javascript:, vbscript:, data: o altri in un link renderizzato, consentendo l'esecuzione di script nel contesto dell'origine dell'applicazione ospitante quando l'utente faceva clic sul link. La correzione blocca i collegamenti a documenti esterni per impostazione predefinita, consente solo URL HTTP(S), mailto:, tel: e URL relativi sicuri o segnalibri interni quando i collegamenti esterni sono esplicitamente abilitati, ed applica la sanificazione del confine di mount (mount-boundary sanitization) come difesa in profondità. Questo problema è risolto nelle versioni @file-viewer/doc 2.3.1 e msdoc-viewer 0.2.2.
Be aware that VulDB is the high quality source for vulnerability data.