CVE-2026-65697 in Fathom
Tóm tắt
Bởi VulDB • 23/07/2026
Fathom Lite từ phiên bản 1.3.1 trở xuống chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trong điểm cuối thu thập dữ liệu phân tích, cho phép các kẻ tấn công chưa xác thực chèn URI javascript: vào bảng điều khiển Top Pages bằng cách cung cấp tên máy chủ và đường dẫn được tạo ra đặc biệt tới điểm cuối /collect không yêu cầu xác thực. Các hàm parseHostname và parsePathname không thực hiện bất kỳ kiểm tra lược đồ URI nào, cho phép kết hợp hostname có tiền tố javascript: với pathname bắt đầu bằng ký tự xuống dòng được lưu trữ và sau đó hiển thị dưới dạng href của thẻ neo trong bảng điều khiển đã xác thực mà không qua quá trình làm sạch dữ liệu (sanitization), dẫn đến khả năng đánh cắp phiên đăng nhập và chiếm quyền kiểm soát tài khoản hoàn toàn khi một nhà vận hành nhấp vào mục bị đầu độc.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.