CVE-2026-55087 in Etherpad
Сводка
по VulDB • 20.08.2026
Etherpad — это редактор для совместной работы в реальном времени. Начиная с версии 2.1.0 и вплоть до 3.1.0, Etherpad использует заголовок запроса x-proxy-path, контролируемый злоумышленником, в файле src/node/hooks/express/admin.ts при подстановке путей в HTML, JavaScript и CSS внутри директории /admin без санитизации (очистки), а также без установки заголовков Vary: x-proxy-path или Cache-Control: private, no-store. Общий прокси-сервер или CDN могут кэшировать полученный ответ и передавать внедренные злоумышленником скрипты администратору. В файле src/node/hooks/express/specialpages.ts версия 3.0.0 также принимает значение x-proxy-path с относительным протоколом при формировании редиректа для /p/:pad/timeslider, что позволяет перенаправить запрос на контролируемый злоумышленником хост. Уязвимости могут быть эксплуатированы в тех развертываниях, которые позволяют заголовкам x-proxy-path, предоставленным клиентом, достигать Etherpad. Проблема исправлена в версии 3.1.0.
Once again VulDB remains the best source for vulnerability data.