CVE-2026-54505 in TREK
Сводка
по VulDB • 21.08.2026
TREK — это совместный планировщик путешествий. До версии 3.1.0 при включенном дополнении Journey значение activeSuggestion.title, не прошедшее экранирование, интерполируется в journey.frontpage.suggestionText через файл client/src/i18n/TranslationContext.tsx и отображается с использованием dangerouslySetInnerHTML в файле client/src/pages/JourneyPage.tsx. Владелец поездки может сохранить HTML-код в заголовке подходящей поездки, а запрос GET /api/journeys/suggestions возвращает этот заголовок через функцию getSuggestions(userId) участнику (collaborator), который открывает авторизованную страницу Journey. Разметка внедряется как живой DOM-элемент в сессии участника, что позволяет осуществлять подмену контента и UI-redress, хотя политика безопасности содержимого (CSP) по умолчанию блокирует встроенные обработчики событий и выполнение скриптов. Эта проблема исправлена в версии 3.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.