CVE-2026-82867
ŚrednieCVSS 6.1Streszczenie
@pdfme/schemas przed wersją 5.5.9 zawiera podatność na cross-site scripting w pluginie schematu Select, który nie sanityzuje wartości opcji przed interpolacją ich do HTML przez innerHTML. Atakujący mogą dostarczyć złośliwe szablony z spreparowanymi wartościami opcji zawierającymi HTML i JavaScript, aby wykonać dowolny kod w przeglądarkach użytkowników.
Ocena ryzyka
Ryzyko XSS może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników, co może skutkować kradzieżą danych lub przejęciem sesji.
Rekomendacja
Zaleca się aktualizację @pdfme/schemas do wersji 5.5.9 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w @pdfme/schemas
Zobacz wszystkie- CVE-2026-82868Średnie
@pdfme/schemas przed wersją 5.5.9 zawiera podatność na cross-site scripting w pluginie schematu SVG, który renderuje dostarczone przez użytkownika treści SVG bezpośrednio do innerHTML bez sanityzacji. Atakujący mogą wstrzyknąć złośliwy SVG z osadzonymi skryptami, obsługami zdarzeń lub elementami foreignObject, aby wykonać dowolny JavaScript w przeglądarkach użytkowników podczas przeglądania lub wypełniania szablonów.
- CVE-2026-82865Średnie
pdfme schemas przed wersją 5.5.10 zawiera podatność na cross-site scripting w panelu właściwości multiVariableText, który przypisuje niesanityzowane wartości etykiet i18n do innerHTML. Atakujący, którzy kontrolują nadpisania etykiet przez options.labels, mogą wstrzyknąć dowolny JavaScript, który wykonuje się, gdy użytkownicy otworzą Designer i wybiorą pole multiVariableText bez placeholderów zmiennych.
Oryginalny opis (angielski, źródło NVD)
@pdfme/schemas before 5.5.9 contains a cross-site scripting vulnerability in the Select schema plugin that fails to sanitize option values before interpolating them into HTML via innerHTML. Attackers can supply malicious templates with crafted option values containing HTML and JavaScript to execute arbitrary code in users' browsers.