CVE-2026-88976
ŚrednieCVSS 6.1Streszczenie
Podatność w edytorze tekstu Plate przed wersją 53.3.11 (oraz w wydaniach beta 54.0.0) dotyczy API deserializacji HTML, które parsują dostarczone stringi HTML w aktywnym dokumencie. Gdy aplikacja przekazuje niezaufane HTML od innych użytkowników, pewne atrybuty HTML mogą wywołać zachowanie przeglądarki przed konwersją do węzłów edytora, co może umożliwić wykonanie skryptów atakującego w kontekście aplikacji, gdy inny użytkownik załaduje zdeserializowaną zawartość. Problem rozwiązany w wersji 53.3.11.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w kontekście aplikacji, co może prowadzić do kradzieży sesji, wycieku danych lub innych ataków XSS.
Rekomendacja
Należy zaktualizować Plate do wersji 53.3.11 lub nowszej oraz unikać przesyłania niezaufanego HTML do API deserializacji, a także stosować odpowiednie sanityzacje danych wejściowych.
Inne podatności w Plate
Zobacz wszystkie- CVE-2026-65842Wysokie
Plate przed wersją 53.3.2 ma podatność w @platejs/docx-io, która pobiera zdalne adresy URL obrazów podczas konwersji HTML kontrolowanego przez atakującego przez htmlToDocxBlob w środowisku serwerowym. Konwerter może wysyłać żądania do wewnętrznych zasobów sieciowych i dołączać pobrane bajty obrazów do generowanego DOCX, co umożliwia fałszowanie żądań po stronie serwera z ujawnieniem odpowiedzi.
- CVE-2026-55596Wysokie
Podatność w edytorze Plate (wersje 53.0.0 do 53.1.4) pozwala na wstrzyknięcie kodu JavaScript przez osadzone multimedia. Atakujący może spreparować dokument, który po otwarciu przez ofiarę renderuje iframe z kodem JavaScript zamiast bezpiecznego źródła wideo.
Oryginalny opis (angielski, źródło NVD)
Plate is a rich-text editor with AI and shadcn/ui. Prior to 53.3.11, and in the discontinued 54.0.0-beta.0 through 54.0.0-beta.1 builds, Plate core HTML deserialization APIs parse supplied HTML strings in the active document. When an application passes untrusted or cross-user HTML to these APIs, certain HTML attributes can trigger browser behavior before the HTML is converted into editor nodes. This can allow attacker-controlled script to execute in the consuming application's origin when another user loads the deserialized content. This issue is fixed in version 53.3.11.