CVE-2026-91127 in file-viewer
要約
〜によって VulDB • 2026年09月18日
File Viewer は、プライベートおよび内部の Web アプリケーションにおいて Office、PDF、CAD、アーカイブ、その他のファイル用のブラウザネイティブビューアです。@file-viewer/doc 2.3.1 および msdoc-viewer 0.2.2 より前では、レガシーな DOC レンダラーは文字エスケープ処理を行った後でドキュメント制御のハイパーリンクターゲットを生成された HTML に出力していましたが、URL スキームについては制限されていませんでした。悪意のあるレガシー DOC ファイルにより、レンダリングされたリンクに javascript:、vbscript:、data:、またはその他の安全でないスキームが含まれる可能性があり、ユーザーがそのリンクをクリックすると、埋め込みアプリケーションのオリジンでスクリプトが実行される可能性があります。修正版では、外部ドキュメントへのリンクをデフォルトでブロックし、外部リンクが明示的に有効化されている場合に HTTP(S)、メール、電話、安全な相対 URL、および内部ブックマークのみを許可します。さらに、防御の多層化としてマウント境界のサニタイゼーションが適用されます。この問題は @file-viewer/doc 2.3.1 および msdoc-viewer 0.2.2 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.