CVE-2026-79320
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Stencil core 4.43.5 zawiera podatność DOM-based cross-site scripting (XSS) w komponencie runtime. Gdy aplikacja korzysta z eksperymentalnej opcji slot fixes i używa komponentów scoped, przypisanie ciągu znaków do właściwości textContent elementu hosta powoduje, że wartość jest interpretowana jako HTML zamiast tekstu. Jeśli aplikacja zapisuje dane kontrolowane przez atakującego do tych elementów, dane mogą być interpretowane jako znaczniki i skrypt może wykonać się w kontekście pochodzenia aplikacji.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj Stencil do wersji z poprawką. Unikaj zapisywania danych kontrolowanych przez użytkownika do właściwości textContent elementów hosta.
Inne podatności w Stencil
Oryginalny opis (angielski, źródło NVD)
Stencil core 4.43.5 contains a DOM-based cross-site scripting (XSS) vulnerability in the component runtime. When a downstream application enables the experimental slot fixes option and uses scoped components, assigning a string to the textContent property of such a component's host element causes the value to be parsed as HTML instead of being inserted as text. If an application writes attacker-controlled data to these host elements, the data can be interpreted as markup and script can execute in the context of the application's origin.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS