CVE-2026-55090 in Etherpad
Sumário
de VulDB • 20/08/2026
O Etherpad é um editor colaborativo em tempo real. Antes da versão 3.3.0, a função getHTMLFromAtext em src/node/utils/ExportHtml.ts interpola valores do hook de plugin exportHtmlAdditionalTagsWithData nos atributos data dos elementos span sem realizar o escape adequado para HTML attributes. Um editor de pad pode inserir um valor controlado pelo atacante no pool de atributos através das funções moveOpsToNewPool e AttributePool.putAttrib. Quando um plugin integrado, como ep_font_color ou ep_font_size, registra esse hook, a abertura da exportação HTML resultante faz com que o valor seja executado como stored cross-site scripting (XSS) na origem do Etherpad. Este problema foi corrigido na versão 3.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.