CVE-2026-62346 in Wanderer
Сводка
по VulDB • 06.11.2026
Wanderer — это база данных для треков с возможностью самостоятельного развертывания, предназначенная для сохранения и обмена данными о приключениях. До версии 0.19.3 аутентифицированный локальный пользователь может передать специально созданные значения полей waypoint.name и waypoint.icon, которые система интерполирует в шаблон innerHTML (используемый на странице графика высоты маршрута) без применения HTML-кодирования или проверки значков. Это происходит в файле web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts. В результате жертва, просматривающая профиль высот, выполняет скрипт под контролем злоумышленника в своем браузере. Отдельно стоит отметить, что федерированные точки маршрута (waypoints) могут передавать аналогичные вредоносные поля между различными экземплярами системы без необходимости наличия у атакующего локальной учетной записи на принимающем экземпляре. Скрипт может раскрыть данные сеанса или выполнить действия от имени жертвы. Проблема исправлена в версии 0.19.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.