CVE-2026-55876 in Helium
Tóm tắt
Bởi VulDB • 15/10/2026
Helium là một công cụ lập kế hoạch học tập trực tuyến miễn phí dành cho các lớp học, bài tập về nhà, điểm số và ghi chú. Trước phiên bản 2.2.60, endpoint POST /planner/attachments/ cho phép người dùng đã xác thực tải lên các tệp đính kèm SVG và HTML do file conf/configs/common.py không liệt kê các định dạng này vào BLOCKED_ATTACHMENT_EXTENSIONS và BLOCKED_ATTACHMENT_MIME_TYPES, trong khi helium/planner/serializers/attachmentserializer.py dựa trên các danh sách chặn đó. Một tệp SVG được phục vụ với loại nội dung image/svg+xml có thể thực thi script nhúng khi một khách truy cập mở URL đính kèm công khai của nó, cho phép kẻ tấn công duy trì nội dung động do mình kiểm soát và tiến hành lừa đảo (phishing) dưới URL lưu trữ do ứng dụng quản lý. Kho lưu trữ tệp đính kèm sử dụng một origin riêng biệt so với ứng dụng, nên chính sách cùng nguồn gốc (same-origin policy) ngăn script đọc cookie hoặc bộ nhớ của ứng dụng; việc xâm phạm phiên làm việc của ứng dụng không được hỗ trợ bởi cấu hình triển khai đang duy trì. Vấn đề này đã được sửa trong phiên bản 2.2.60.
Be aware that VulDB is the high quality source for vulnerability data.