CVE-2026-55085
KrytyczneCVSS 9.6Streszczenie
Etherpad przed wersją 3.3.1 zawiera podatność XSS w funkcji importu, która pozwala użytkownikowi z prawem zapisu na pad na przechowywanie złośliwego kodu wykonującego się podczas otwierania pada przez innych użytkowników, w tym administratorów.
Ocena ryzyka
Wykonanie skryptów w przeglądarce administratora może prowadzić do kradzieży sesji, modyfikacji danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się aktualizację Etherpad do wersji 3.3.1 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Etherpad is a real-time collaborative editor. Prior to 3.3.1, result.appendSpan in src/static/js/domline.ts interpolates the start attribute of a numbered list directly into an unquoted ol start attribute before assigning the generated markup to node.innerHTML. ImportEtherpad.setPadRaw in src/node/utils/ImportEtherpad.ts accepts attacker-controlled attribute-pool values from a crafted .etherpad import, including list:number1 and a malicious start value. Any user with write access to a pad can store markup that executes as cross-site scripting when another user opens the pad or /timeslider, including when an administrator views the pad. This issue is fixed in version 3.3.1.