CVE-2026-73426
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Trix, edytor tekstu bogatego WYSIWYG, przed wersją 2.1.17 jest podatny na cross-site scripting (XSS) przez atrybut data-trix-serialized-attributes, który omija filtr DOMPurify. Atakujący może stworzyć HTML z tym atrybutem zawierającym złośliwy kod, który po wyrenderowaniu wykonuje dowolny JavaScript w sesji użytkownika, co może prowadzić do nieautoryzowanych działań lub ujawnienia wrażliwych informacji.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może wykonać skrypty w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Trix do wersji 2.1.17 lub nowszej, która zawiera poprawkę tej luki.
Inne podatności w Trix
Zobacz wszystkie- CVE-2026-73428Średnie
Trix przed wersją 2.1.18 jest podatny na przechowywany cross-site scripting, gdy sformatowany HTML jest wklejany do edytora. HTMLParser przetwarza atrapę załącznika w <span> z pustym data-trix-attachment="{}", co powoduje zastosowanie data-trix-attributes do zwykłego ciągu znaków. StringPiece.fromJSON akceptuje niezweryfikowany href, umożliwiając URI javascript: wejście do modelu dokumentu i wykonanie po kliknięciu przez innego użytkownika.
- CVE-2026-73427Niskie
Trix przed wersją 2.1.18 jest podatny na cross-site scripting, gdy spreparowany ładunek JSON application/x-trix-document zostanie upuszczony do edytora używającego fallback Level0InputController, takiego jak osadzony WebView bez wsparcia Input Events Level 2. Metoda StringPiece.fromJSON ufa atrybutom href z ładunku JSON bez sanityzacji, co pozwala przeciągalnemu elementowi zawierającemu URI javascript: na ominięcie sanityzacji DOMPurify i wstrzyknięcie wykonywalnego JavaScript do DOM. Wykorzystanie wymaga przeciągnięcia i upuszczenia przez ofiarę treści kontrolowanej przez atakującego, a sanityzacja HTML po stronie serwera może zneutralizować ładunek przy zapisie. Problem naprawiono w wersji 2.1.18.
Oryginalny opis (angielski, źródło NVD)
Trix is a what-you-see-is-what-you-get rich text editor for everyday writing. Prior to 2.1.17, Trix is vulnerable to cross-site scripting when a data-trix-serialized-attributes attribute bypasses the DOMPurify sanitizer. An attacker can craft HTML containing a data-trix-serialized-attributes attribute with a malicious payload that, when rendered, executes arbitrary JavaScript in the user's session and may perform unauthorized actions or disclose sensitive information. This issue is fixed in version 2.1.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS