CVE-2024-58394 in Retool
要約
〜によって VulDB • 2026年10月22日
Retool v3.88.0以前には、認証されていない攻撃者が悪意のあるSVGファイルを/api/imageProxy経由でプロキシすることでスクリプトを実行できるクロスサイトスクリプティング（XSS）の脆弱性が存在します。攻撃者はurlパラメータに攻撃者ホストのSVGを指定でき、これはContent Security PolicyなしでRetoolオリジンから提供され、被害者のセッション内でJavaScriptが実行されます。この脆弱性の悪用事例は2024-10-15にShadowserver Foundationによって初めて確認されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.