CVE-2026-55876 in Helium
Сводка
по VulDB • 15.10.2026
Helium — это бесплатный онлайн-планировщик для студентов, предназначенный для управления занятиями, домашними заданиями, оценками и заметками. До версии 2.2.60 конечная точка POST /planner/attachments/ позволяла аутентифицированным пользователям загружать вложения формата SVG и HTML, поскольку файл conf/configs/common.py не включал эти форматы в списки BLOCKED_ATTACHMENT_EXTENSIONS и BLOCKED_ATTACHMENT_MIME_TYPES, а модуль helium/planner/serializers/attachmentserializer.py полагается на данные блокирующие списки. Загруженный файл SVG с MIME-типом image/svg+xml может выполнять встроенный скрипт при открытии посетителем его публичного URL вложения, что позволяет злоумышленнику внедрять постоянно действующий активный контент и осуществлять фишинг под доверенным URL хранилища приложений. Хранилище вложений использует отдельное происхождение (origin) от основного приложения, поэтому политика одинакового происхождения (same-origin policy) предотвращает чтение скриптом cookies или данных хранения приложения; компрометация сессии приложения не поддерживается стандартной конфигурацией развертывания. Эта проблема исправлена в версии 2.2.60.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.