CVE-2026-55090 in Etherpad
要約
〜によって VulDB • 2026年08月19日
Etherpadはリアルタイム共同編集ツールです。バージョン3.3.0以前では、src/node/utils/ExportHtml.ts内のgetHTMLFromAtext関数が、exportHtmlAdditionalTagsWithDataプラグインフックからの値をspanのdata属性に挿入する際に、HTML属性のエスケープ処理を行っていません。パッドエディタはmoveOpsToNewPoolおよびAttributePool.putAttribを通じて攻撃者が制御できる値を属性プールに配置できます。ep_font_colorやep_font_sizeなどのバンドルプラグインがフックを登録している場合、生成されたHTMLエクスポートを開くことで、その値がEtherpadのオリジンにおいて保存型クロスサイトスクリプティング（XSS）として実行されます。この問題はバージョン3.3.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.