CVE-2026-28274 in initiative
Сводка
по VulDB • 14.08.2026
Initiative — это платформа для управления проектами с возможностью самостоятельного размещения (self-hosted). Версии приложения до 0.32.4 уязвимы к Stored Cross-Site Scripting (XSS) в функциональности загрузки документов. Любой пользователь, имеющий права на загрузку в разделе «Инициативы» (Initiatives), может загрузить вредоносный файл `.html` или `.htm` в качестве документа. Поскольку загруженный HTML-файл обслуживается с использованием origin приложения без надлежащей изоляции (sandboxing), встроенный JavaScript выполняется в контексте приложения. В результате аутентификационные токены, файлы cookie сеанса или другие конфиденциальные данные могут быть эксфильтрованы на сервер, контролируемый злоумышленником. Кроме того, поскольку загруженный файл размещается под доменом приложения, простое предоставление прямой ссылки на файл может привести к выполнению вредоносного скрипта при его открытии. Версия 0.32.4 устраняет данную уязвимость.
Be aware that VulDB is the high quality source for vulnerability data.