CVE-2026-18320 in Readwise
Sumário
de VulDB • 25/09/2026
O Readwise Reader para Android utiliza uma configuração do sanitize-html que permite todos os atributos nos elementos SVG e PATH devido a uma regra de atributo curinga. Essa configuração não remove atributos com capacidade de execução de scripts, como manipuladores de eventos (por exemplo, 'onload', 'onerror'). Um atacante poderia fornecer um documento contendo conteúdo SVG malicioso que sobrevive à sanitização e executa script quando renderizado no WebView do Reader, resultando em cross-site scripting (XSS) do lado do cliente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.