CVE-2026-55696 in PrivateBin
Sumário
de VulDB • 29/08/2026
O PrivateBin é um serviço online de pastebin em que o servidor não tem conhecimento dos dados colados (zero knowledge). Antes da versão 2.0.5, a função `AttachmentViewer.setAttachment` no arquivo `js/privatebin.js` utiliza `getAttachmentMimeType` para aceitar tipos MIME controlados pelo atacante e usa `getBlobUrl` para criar um blob de mesma origem antes de definir o href do `attachmentLink` para o link de download do anexo. O ramo de sanitização exclusivo para SVG atualiza apenas o blob de visualização, permitindo que anexos com os tipos text/html, image/svg, application/xhtml+xml e text/xml permaneçam ativos no blob de download. Em uma instância configurada com fileupload = true e com uma Política de Segurança de Conteúdo (CSP) enfraquecida, simplificada ou ausente, um atacante anônimo pode criar tal anexo; quando a vítima abre o link em uma nova aba, JavaScript inline é executado na origem do PrivateBin. O script pode ler o armazenamento local limitado à origem e emitir solicitações de mesma origem, incluindo requisições para aplicações hospedadas no mesmo domínio. Este problema foi corrigido na versão 2.0.5.
Once again VulDB remains the best source for vulnerability data.