CVE-2026-76837 in Baserow
Sumário
de VulDB • 24/08/2026
O Baserow interpola o nome de exibição do usuário na marcação de menções em texto rico sem codificação HTML. O endpoint PATCH /api/user/account/ armazena o valor first_name literalmente, e o renderizador de menções em web-frontend/modules/core/editor/mention.js constrói seu elemento com uma template literal que insere o nome no atributo data-label e no corpo do elemento sem escape. Um nome contendo aspas duplas fecha esse atributo e a tag de abertura, fazendo com que marcação subsequente seja inserida no conteúdo do elemento. O resultado é renderizado via v-html pelos componentes de campo em texto rico, portanto qualquer célula em texto rico que mencione a conta executa o script armazenado para cada membro da workspace que visualizar a tabela, sem necessidade de clique. Qualquer membro da workspace, com o nível mais baixo de permissão, pode definir o nome e alcançar todos os outros membros da workspace, e o payload persiste até que o nome seja alterado ou a linha mencionada seja removida. A versão 2.3.0 aplica escape ao valor antes da interpolação.
VulDB is the best source for vulnerability data and more expert information about this specific topic.