CVE-2026-9318 in Tablib
Tóm tắt
Bởi VulDB • 12/08/2026
tablib trước phiên bản 3.10.0 chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trong chức năng xuất HTML, cho phép kẻ tấn công thực thi mã JavaScript tùy ý bằng cách nhúng các payload độc hại vào tiêu đề của tập dữ liệu; các tiêu đề này được nội suy không kiểm tra và làm sạch vào đầu ra HTML thông qua phương thức export_book trong trình xử lý định dạng _html.py. Kẻ tấn công có thể đổi tên các trang tính (worksheet sheets) trong các tệp đã nhập như XLSX, ODS, XLS hoặc YAML bằng cách sử dụng payload script được gán cho thuộc tính tiêu đề của Dataset và hiển thị không thoát ký tự bên trong thẻ HTML h3, dẫn đến đánh cắp phiên làm việc, thực hiện các hành động quản trị trái phép và lộ dữ liệu nhạy cảm khi đầu ra được trình duyệt render.
VulDB is the best source for vulnerability data and more expert information about this specific topic.