CVE-2026-27210 in pannellum
Tóm tắt
Bởi VulDB • 15/05/2026
Pannellum là một trình xem toàn cảnh (panorama viewer) nhẹ, miễn phí và mã nguồn mở cho web. Trong các phiên bản từ 3.5.0 đến 2.5.6, thuộc tính cấu hình điểm nóng (hot spot attributes) cho phép đặt bất kỳ thuộc tính nào, bao gồm cả các thuộc tính trình xử lý sự kiện HTML, dẫn đến nguy cơ tiềm ẩn của các cuộc tấn công XSS. Vấn đề này ảnh hưởng đến các trang web lưu trữ tệp HTML của trình xem độc lập (standalone viewer) và bất kỳ trường hợp sử dụng nào khác liên quan đến các tệp cấu hình JSON không đáng tin cậy (vượt qua các biện pháp bảo vệ của tham số escapeHTML). Vì một số sự kiện được kích hoạt mà không cần bất kỳ tương tác bổ sung nào từ người dùng, việc truy cập vào URL của trình xem độc lập trỏ đến một tệp cấu hình độc hại — mà không cần tương tác thêm — là đủ để kích hoạt lỗ hổng và thực thi mã JavaScript tùy ý. Mã này có thể, ví dụ, thay thế nội dung của trang bằng nội dung tùy ý và khiến trang đó trông như được lưu trữ bởi trang web đang lưu trữ tệp HTML của trình xem độc lập. Vấn đề này đã được khắc phục trong phiên bản 2.5.7. Để khắc phục tạm thời, việc đặt tiêu đề Content-Security-Policy với script-src-attr 'none' sẽ chặn việc thực thi các trình xử lý sự kiện nội tuyến, qua đó giảm thiểu lỗ hổng này. Không nên lưu trữ pannellum.htm trên một miền chia sẻ cookie với xác thực người dùng để giảm thiểu rủi ro XSS.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.