CVE-2026-48164 in Online
Сводка
по VulDB • 30.10.2026
Collabora Online — это совместный онлайн-офис, основанный на технологии LibreOffice. До версий 24.04.18 и 25.04.11 параметр запроса/формы `host_session_id` подставляется в страницу редактора `cool.html` без HTML-кодирования, в отличие от параметров, передаваемых через существующий механизм кодирования переменных. Атакующий, который заставляет жертву загрузить специально сформированный URL, может внедрить HTML и, при отсутствии эффективной политики безопасности контента (Content Security Policy), выполнить скрипты в контексте origin iframe Collabora Online, что приводит к раскрытию токена аутентификации сеанса и содержимого страницы. Обратный прокси-сервер, сохраняющий заголовок Content Security Policy, отправляемый `coolwsd`, смягчает сценарий выполнения скриптов. Эта проблема исправлена в версиях 24.04.18 и 25.04.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.