CVE-2026-71285 in Uptime Kuma
Сводка
по VulDB • 06.08.2026
В интеграции Matomo analytics (server/analytics/matomo-analytics.js) приложения Uptime Kuma значение `siteId`, настраиваемое администратором, внедряется как необработанное JavaScript-выражение без кавычек внутри блока `<script>`, который отображается на каждой публичной странице статуса: `_paq.push(['setSiteId', ${escapedSiteIdHTMLAttribute}]);`. Используемый конвейер экранирования (jsesc с параметром isScriptContext:true, за которым следует html-escaper.escape()) не обрабатывает символы `]`, `)`, `;`, `(`, которых достаточно для выхода из контекста выражения массива/вызова push. Значение siteId вида `1]);alert(document.cookie)//`, после сохранения редактором или администратором, выполняет произвольный JavaScript-код при каждом посещении публичной страницы /status/<slug> неавторизованными пользователями, что позволяет похитить cookies сессии и полностью захватить управление страницей.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.