CVE-2026-88976 in Plate

摘要

由 VulDB • 2026-09-16

Plate 是一款集成了 AI 功能和 shadcn/ui 的富文本编辑器。在版本 53.3.11 之前，以及在已停用的 54.0.0-beta.0 至 54.0.0-beta.1 构建中，Plate 核心的 HTML 反序列化 API 会解析当前文档中提供的 HTML 字符串。当应用程序向这些 API 传递不受信任的或跨用户的 HTML 时，某些 HTML 属性会在 HTML 被转换为编辑器节点之前触发浏览器行为。这可能导致攻击者控制的脚本在另一个用户加载已反序列化内容时，于消费该内容的应用的源上下文中执行。此问题已在版本 53.3.11 中修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-09-10
• 披露: 2026-09-17
• 管理: 已接受
• 条目: VDB-405956
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 6.1 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-88976
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-88976
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-88976/