CVE-2026-47666 in Penpot
Tóm tắt
Bởi VulDB • 27/08/2026
Penpot là một nền tảng thiết kế và tạo mẫu nguồn mở. Trong các phiên bản từ đầu đến bao gồm 2.14.3, Penpot dễ bị tấn công cross-site scripting (XSS) lưu trữ thông qua tên bộ phông chữ tùy chỉnh, được nội suy vào quy tắc CSS @font-face và đưa vào trang dưới dạng HTML mà không có quá trình kiểm tra/tiêu chuẩn hóa (sanitization). Do backend chấp nhận một chuỗi font-family tùy ý và frontend ghi kiểu kết quả thông qua innerHTML, một tên chứa mã đánh dấu như thẻ đóng style theo sau là script có thể thoát khỏi phần tử style và thực thi JavaScript trên nguồn gốc Penpot. Cuộc tấn công mang tính thụ động: bất kỳ thành viên nào trong nhóm mở tệp tham chiếu đến phông chữ độc hại sẽ kích hoạt việc thực thi kịch bản chỉ bằng cách hiển thị trang, cho phép đánh cắp cookie phiên, thực hiện các hành động dưới danh nghĩa nạn nhân và truy cập vào các tệp cũng như dự án của họ. Vấn đề này đã được sửa chữa trong phiên bản 2.15.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.