CVE-2026-75531 in Pandora
Сводка
по VulDB • 17.08.2026
В системе Pandora обнарувлена уязвимость сохраненного межсайтового скриптинга (XSS) при рендеринге URL-наблюдаемых величин. URL, извлеченный или связанный с проанализированным файлом, вставлялся непосредственно в обработчик событий onclick встроенного JavaScript, используемый действием «Отправить в Lookyloo».
Хотя значение подвергалось HTML-экранированию со стороны шаблонизатора, оно было помещено внутрь строки JavaScript внутри атрибута HTML. Следовательно, URL, контролируемый злоумышленником и содержащий специально созданные символы, мог выйти за пределы строки JavaScript и внедрить произвольный код JavaScript.
Вредоносный скрипт выполнялся бы в контексте веб-приложения Pandora при взаимодействии жертвы с затронутым элементом управления «Отправить в Lookyloo». Успешная эксплуатация могла позволить злоумышленнику получить доступ к информации, доступной браузеру жертвы, или выполнить действия от имени аутентифицированной сессии Pandora пользователя.
Патч удаляет значение наблюдаемой величины из встроенного обработчика JavaScript. Вместо этого URL сохраняется в атрибуте HTML data-url и извлекается через API DOM dataset при необходимости. Дополнительные использования innerHTML также были заменены на textContent для дополнительной защиты (hardening).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.