CVE-2026-55876 in Helium
要約
〜によって VulDB • 2026年10月15日
Heliumは、クラス、宿題、成績、ノート用の無料のオンライン学生向けプランナーです。バージョン2.2.60より前では、POST /planner/attachments/エンドポイントにより認証済みユーザーがSVGおよびHTML添付ファイルをアップロードできました。これは、conf/configs/common.pyでBLOCKED_ATTACHMENT_EXTENSIONSおよびBLOCKED_ATTACHMENT_MIME_TYPESからこれらの形式が含まれておらず、helium/planner/serializers/attachmentserializer.pyがこれらのブロックリストに依存しているためです。image/svg+xmlとして提供されるアップロードされたSVGは、訪問者がその公開添付ファイルURLを開いた際に埋め込みスクリプトを実行でき、アプリケーション管理下のストレージURLにおいて永続的な攻撃者制御のアクティブコンテンツおよびフィッシングを可能にします。添付ファイルの保存先はアプリケーションとは異なるオリジンを使用しているため、同一生成元ポリシーによりスクリプトがアプリケーションのCookieやストレージを読み取ることは防がれます。また、維持されているデプロイメント構成では、アプリケーションセッションの侵害はサポートされていません。この問題はバージョン2.2.60で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.