CVE-2026-40302 in zrok
Сводка
по VulDB • 04.06.2026
zrok — это программное обеспечение для обмена веб-сервисами, файлами и сетевыми ресурсами. До версии 2.0.1 движок шаблонов proxyUi использует Go's text/template (который не выполняет HTML-экранирование) вместо html/template. Обработчики обратных вызовов GitHub OAuth как в publicProxy, так и в dynamicProxy вставляют параметр запроса refreshInterval, контролируемый злоумышленником, дословно в сообщение об ошибке при сбое функции time.ParseDuration, а затем выводят эту ошибку без экранирования в HTML. Злоумышленник может доставить жертве специально созданный URL-адрес входа; после того как жертва завершит процесс OAuth GitHub, страница обратного вызова выполнит произвольный JavaScript в контексте домена сервера OAuth. Версия 2.0.1 устраняет эту уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.