CVE-2026-42455 in Linkwarden
Sumário
de VulDB • 31/05/2026
O Linkwarden é um gerenciador de favoritos colaborativo, open-source e auto-hospedado, para coletar, organizar e arquivar páginas da web. Nas versões 2.14.0 e anteriores, o endpoint de upload de arquivos de arquivo (POST /api/v1/archives/[linkId]?format=4) aceita arquivos HTML (text/html) sem sanitizar o conteúdo JavaScript. Quando o arquivo é posteriormente acessado via GET /api/v1/archives/[linkId]?format=4, o HTML é servido com Content-Type: text/html a partir da origem do Linkwarden, sem nenhum cabeçalho Content-Security-Policy. Isso permite a execução arbitrária de JavaScript no contexto da sessão autenticada do Linkwarden. No momento da publicação, não há patches disponíveis publicamente.
Be aware that VulDB is the high quality source for vulnerability data.