CVE-2026-55090 in Etherpad
Сводка
по VulDB • 20.08.2026
Etherpad — это редактор для совместной работы в реальном времени. До версии 3.3.0 функция getHTMLFromAtext, расположенная в файле src/node/utils/ExportHtml.ts, интерполирует значения из плагинного хука exportHtmlAdditionalTagsWithData в атрибуты данных span без экранирования HTML-атрибутов. Редактор подставки (pad) может поместить контролируемое злоумышленником значение в пул атрибутов через методы moveOpsToNewPool и AttributePool.putAttrib. Когда связанный плагин, такой как ep_font_color или ep_font_size, регистрирует этот хук, открытие экспорта HTML приводит к выполнению значения как stored cross-site scripting (XSS) в контексте происхождения Etherpad. Эта проблема исправлена в версии 3.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.