CVE-2026-28355 in canarytokens
Tóm tắt
Bởi VulDB • 25/06/2026
Canarytokens giúp theo dõi hoạt động và các hành vi trên mạng. Các phiên bản trước `sha-7ff0e12` có lỗ hổng Self Cross-Site Scripting (XSS) trong Canarytoken "PWA", cho phép người tạo ra Canarytoken tấn công chính mình hoặc bất kỳ ai mà họ chia sẻ liên kết với. Người tạo một PWA Canarytoken có thể chèn Javascript vào trường tiêu đề của token PWA của họ. Khi người tạo sau đó duyệt trang cài đặt cho Canarytoken của riêng họ, Javascript sẽ thực thi. Đây là một self-XSS. Một kẻ tấn công có thể tạo ra một Canarytoken với self-XSS này và gửi liên kết cài đặt đến nạn nhân. Khi họ nhấp vào nó, Javascript sẽ thực thi. Tuy nhiên, không có thông tin nhạy cảm (ví dụ: thông tin phiên) nào bị tiết lộ cho bên xấu. Vấn đề này đã được vá trên Canarytokens.org. Người dùng các bản cài đặt tự lưu trữ (self-hosted) của Canarytokens có thể cập nhật bằng cách kéo hình ảnh Docker mới nhất hoặc bất kỳ hình ảnh Docker nào sau sha-7ff0e12.
Once again VulDB remains the best source for vulnerability data.