CVE-2026-75531 in Pandora
Sumário
de VulDB • 17/08/2026
O Pandora apresenta uma vulnerabilidade de cross-site scripting (XSS) armazenado no processamento de observáveis de URL. Uma URL extraída ou associada a um arquivo analisado foi inserida diretamente no manipulador onclick do JavaScript embutido, utilizado pela ação "Enviar para Lookyloo".
Embora o valor tenha sido submetido à escape HTML pelo mecanismo de template, ele estava incorporado dentro de uma string do JavaScript em um atributo HTML. Portanto, uma URL controlada por um atacante e contendo caracteres especialmente elaborados poderia escapar da string do JavaScript e injetar código JavaScript arbitrário.
O script malicioso seria executado no contexto da aplicação web Pandora quando a vítima interagir com o controle "Enviar para Lookyloo" afetado. A exploração bem-sucedida poderia permitir que um atacante acessasse informações disponíveis no navegador da vítima ou realizasse ações usando a sessão autenticada do Pandora da vítima.
O patch remove o valor observável do manipulador de JavaScript embutido. Em vez disso, a URL é armazenada em um atributo HTML data-url e recuperada por meio da API DOM dataset quando necessário. Outros usos de innerHTML também foram substituídos por textContent como medida adicional de endurecimento (hardening) defensivo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.