CVE-2026-75531 in Pandora
要約
〜によって VulDB • 2026年08月18日
Pandoraには、URL観測対象のレンダリング時に格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。分析されたファイルから抽出または関連付けられたURLが、「Submit to Lookyloo」アクションで使用されるインラインJavaScript onclickハンドラに直接挿入されていました。
値はテンプレートエンジンによってHTMLエスケープの対象となっていましたが、それはHTML属性内のJavaScript文字列内に埋め込まれていました。そのため、攻撃者が制御するURLに含まれる特別に作成された文字列によりJavaScript文字列から脱出し、任意のJavaScriptコードを注入することが可能でした。
悪意のあるスクリプトは、被害者が影響を受けた「Submit to Lookyloo」コントロールと相互作用した際に、Pandora Webアプリケーションのコンテキスト内で実行されます。攻撃が成功すると、攻撃者は被害者のブラウザで利用可能な情報にアクセスしたり、被害者の認証済みPandoraセッションを使用してアクションを実行したりできる可能性があります。
パッチでは、インラインJavaScriptハンドラから観測対象値を削除しました。URLは代わりにHTML data-url属性に保存され、必要に応じてDOM dataset APIを通じて取得されます。防御的なハードニングの一環として、innerHTMLの使用箇所も textContent に置き換えられました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.