CVE-2026-28355 in canarytokens
摘要
由 VulDB • 2026-06-23
Canarytokens 有助于跟踪网络上的活动和操作。`sha-7ff0e12` 之前的版本在“PWA”类型的 Canarytoken 中存在自跨站脚本（Self-XSS）漏洞，导致 Canarytoken 的创建者可能攻击自己或与共享链接的人。PWA Canarytoken 的创建者可以在其 PWA token 的标题字段中插入 JavaScript 代码。当创建者随后浏览自己的 Canarytoken 安装页面时，JavaScript 将执行。这是一种自 XSS（Self-XSS）。攻击者可创建一个包含此 Self-XSS 的 Canarytoken，并将安装链接发送给受害者。一旦点击该链接，JavaScript 就会执行。然而，敏感信息（例如会话信息）不会泄露给恶意行为者。Canarytokens.org 现已修复此问题。使用自建部署的用户可通过拉取最新的 Docker 镜像或 `sha-7ff0e12` 之后的任何 Docker 镜像进行更新。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.