CVE-2026-73427
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Trix przed wersją 2.1.18 jest podatny na cross-site scripting, gdy spreparowany ładunek JSON application/x-trix-document zostanie upuszczony do edytora używającego fallback Level0InputController, takiego jak osadzony WebView bez wsparcia Input Events Level 2. Metoda StringPiece.fromJSON ufa atrybutom href z ładunku JSON bez sanityzacji, co pozwala przeciągalnemu elementowi zawierającemu URI javascript: na ominięcie sanityzacji DOMPurify i wstrzyknięcie wykonywalnego JavaScript do DOM. Wykorzystanie wymaga przeciągnięcia i upuszczenia przez ofiarę treści kontrolowanej przez atakującego, a sanityzacja HTML po stronie serwera może zneutralizować ładunek przy zapisie. Problem naprawiono w wersji 2.1.18.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków XSS, jeśli ofiara przeciągnie i upuści złośliwą treść.
Rekomendacja
Zaktualizuj Trix do wersji 2.1.18 lub nowszej oraz rozważ dodatkową sanityzację HTML po stronie serwera.
Inne podatności w Trix
Zobacz wszystkie- CVE-2026-73426Średnie
Trix, edytor tekstu bogatego WYSIWYG, przed wersją 2.1.17 jest podatny na cross-site scripting (XSS) przez atrybut data-trix-serialized-attributes, który omija filtr DOMPurify. Atakujący może stworzyć HTML z tym atrybutem zawierającym złośliwy kod, który po wyrenderowaniu wykonuje dowolny JavaScript w sesji użytkownika, co może prowadzić do nieautoryzowanych działań lub ujawnienia wrażliwych informacji.
- CVE-2026-73428Średnie
Trix przed wersją 2.1.18 jest podatny na przechowywany cross-site scripting, gdy sformatowany HTML jest wklejany do edytora. HTMLParser przetwarza atrapę załącznika w <span> z pustym data-trix-attachment="{}", co powoduje zastosowanie data-trix-attributes do zwykłego ciągu znaków. StringPiece.fromJSON akceptuje niezweryfikowany href, umożliwiając URI javascript: wejście do modelu dokumentu i wykonanie po kliknięciu przez innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Trix is a what-you-see-is-what-you-get rich text editor for everyday writing. Prior to 2.1.18, Trix is vulnerable to cross-site scripting when a crafted application/x-trix-document JSON payload is dropped into an editor using the fallback Level0InputController, such as an embedded WebView without Input Events Level 2 support. The StringPiece.fromJSON method trusts href attributes from the JSON payload without sanitization, allowing a draggable element containing a javascript: URI to bypass DOMPurify sanitization and inject executable JavaScript into the DOM. Exploitation requires the victim to drag and drop attacker-controlled content, and server-side HTML sanitization can neutralize the payload on save. This issue is fixed in version 2.1.18.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS