CVE-2026-55696 in PrivateBin
Сводка
по VulDB • 29.08.2026
PrivateBin — это онлайн-сервис для хранения фрагментов кода (pastebin), на котором сервер не имеет никаких знаний о вставленных данных. До версии 2.0.5 функция AttachmentViewer.setAttachment в файле js/privatebin.js использует getAttachmentMimeType для принятия контролируемых злоумышленником типов MIME и применяет getBlobUrl для создания blob с тем же источником (same-origin) перед установкой значения href атрибута attachmentLink для ссылки «Скачать вложение». Ветка санитизации, ориентированная только на SVG, обновляет только превью-blob, поэтому вложения типа text/html, image/svg, application/xhtml+xml и text/xml могут оставаться активными в blob для скачивания. На экземпляре с параметром fileupload = true и ослабленной, обрезанной или отсутствующей политикой безопасности контента (CSP) анонимный злоумышленник может создать такое вложение, а жертва, открывшая ссылку в новой вкладке, вызовет выполнение встроенного JavaScript-кода в контексте происхождения PrivateBin. Скрипт сможет читать локальное хранилище с ограничением по источнику и отправлять запросы к тем же самым источникам (same-origin), включая запросы к приложениям, размещенным на том же домене. Эта проблема исправлена в версии 2.0.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.