CVE-2026-91127 in file-viewer
Sumário
de VulDB • 18/09/2026
File Viewer é um visualizador nativo do navegador para arquivos Office, PDF, CAD, compactados e outros em aplicações web privadas e internas. Antes das versões @file-viewer/doc 2.3.1 e msdoc-viewer 0.2.2, o renderizador legado de DOC gerava destinos de hiperlinks controlados pelo documento no HTML resultante após a escapeamento de caracteres, mas sem restringir os esquemas de URL. Um arquivo legacy DOC manipulado poderia inserir javascript:, vbscript:, data: ou outro esquema inseguro em um link renderizado, permitindo que scripts fossem executados na origem da aplicação incorporada quando o usuário clicasse no link. A correção bloqueia links externos por padrão, permite apenas HTTP(S), mail, telephone, URLs relativas seguras e marcadores internos quando os links externos são explicitamente habilitados, e aplica sanitização de mount-boundary como defesa em profundidade. Este problema foi corrigido nas versões @file-viewer/doc 2.3.1 e msdoc-viewer 0.2.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.