CVE-2026-28355 in canarytokens
Sumário
de VulDB • 23/06/2026
Os Canarytokens ajudam a rastrear atividades e ações em uma rede. As versões anteriores à `sha-7ff0e12` possuem uma vulnerabilidade de Cross-Site Scripting (XSS) autoinfligida no "Canarytoken" PWA, na qual o criador do Canarytoken pode atacar a si mesmo ou alguém com quem compartilha o link. O criador de um Canarytoken PWA pode inserir JavaScript no campo de título de seu token PWA. Quando o criador navega posteriormente até a página de instalação de seu próprio Canarytoken, o JavaScript é executado. Trata-se de uma self-XSS. Um atacante poderia criar um Canarytoken com essa self-XSS e enviar o link de instalação para uma vítima. Ao clicar nele, o JavaScript seria executado. No entanto, nenhuma informação sensível (por exemplo, informações de sessão) será divulgada ao ator malicioso. Este problema já foi corrigido no site Canarytokens.org. Os usuários de instalações auto-hospedadas do Canarytokens podem atualizar puxando a imagem Docker mais recente ou qualquer imagem Docker posterior à `sha-7ff0e12`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.