CVE-2026-65697 in Fathom
要約
〜によって VulDB • 2026年07月23日
Fathom Lite 1.3.1以前には、分析データ収集エンドポイントに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。これにより、認証されていない攻撃者は、認証不要な /collect エンドポイントに対して作成されたホスト名とパス名を指定することで、「Top Pages」ダッシュボード内に javascript: URI を注入できます。parseHostname 関数および parsePathname 関数はURIスキームの検証を行わないため、javascript: で始まるホスト名と改行で始まるパス名の組み合わせが保存され、後で認証済みダッシュボード内のアンカーhrefとしてサニタイズ処理なしでレンダリングされます。これにより、オペレーターが悪意のあるエントリをクリックした際にセッションハイジャックやアカウントの完全乗っ取りが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.