CVE-2026-82868
ŚrednieCVSS 6.1Streszczenie
@pdfme/schemas przed wersją 5.5.9 zawiera podatność na cross-site scripting w pluginie schematu SVG, który renderuje dostarczone przez użytkownika treści SVG bezpośrednio do innerHTML bez sanityzacji. Atakujący mogą wstrzyknąć złośliwy SVG z osadzonymi skryptami, obsługami zdarzeń lub elementami foreignObject, aby wykonać dowolny JavaScript w przeglądarkach użytkowników podczas przeglądania lub wypełniania szablonów.
Ocena ryzyka
Ryzyko XSS może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w kontekście aplikacji.
Rekomendacja
Zaleca się aktualizację @pdfme/schemas do wersji 5.5.9 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w @pdfme/schemas
Zobacz wszystkie- CVE-2026-82867Średnie
@pdfme/schemas przed wersją 5.5.9 zawiera podatność na cross-site scripting w pluginie schematu Select, który nie sanityzuje wartości opcji przed interpolacją ich do HTML przez innerHTML. Atakujący mogą dostarczyć złośliwe szablony z spreparowanymi wartościami opcji zawierającymi HTML i JavaScript, aby wykonać dowolny kod w przeglądarkach użytkowników.
- CVE-2026-82865Średnie
pdfme schemas przed wersją 5.5.10 zawiera podatność na cross-site scripting w panelu właściwości multiVariableText, który przypisuje niesanityzowane wartości etykiet i18n do innerHTML. Atakujący, którzy kontrolują nadpisania etykiet przez options.labels, mogą wstrzyknąć dowolny JavaScript, który wykonuje się, gdy użytkownicy otworzą Designer i wybiorą pole multiVariableText bez placeholderów zmiennych.
Oryginalny opis (angielski, źródło NVD)
@pdfme/schemas before 5.5.9 contains a cross-site scripting vulnerability in the SVG schema plugin that renders user-supplied SVG content directly to innerHTML without sanitization. Attackers can inject malicious SVG with embedded scripts, event handlers, or foreignObject elements to execute arbitrary JavaScript in users' browsers when viewing or filling templates.