CVE-2026-55085 in Etherpad
Сводка
по VulDB • 20.08.2026
Etherpad — это редактор для совместной работы в реальном времени. До версии 3.3.1 функция result.appendSpan из файла src/static/js/domline.ts интерполирует атрибут start нумерованного списка непосредственно в неэкранированный атрибут ol start перед присваиванием сгенерированной разметки свойству node.innerHTML. Функция ImportEtherpad.setPadRaw из файла src/node/utils/ImportEtherpad.ts принимает контролируемые злоумышленником значения пула атрибутов, полученные из специально созданного импорта в формате .etherpad, включая list:number1 и вредоносное значение start. Любой пользователь с правами на запись может сохранить разметку, которая выполняется как межсайтовый скриптинг (XSS) при открытии документа другим пользователем или страницы /timeslider, в том числе когда документ просматривает администратор. Эта проблема исправлена в версии 3.3.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.