Open VSX Registry Stored XSS via Malicious SVG Icons

Sammendrag

CVE-2026-4983 er en stored cross-site scripting (XSS) s├Ñrbarhed i Eclipse Open VSX Registry (versioner 0.1.0 til 0.34.1). Angriberen kan publicere en VS Code-udvidelse med et ondsindet SVG-ikon. N├Ñr en bruger navigerer direkte til ikon-URL'en, udf├©res scriptet i browseren.

CVSS 3.1: 4.7 (Medium) ÔÇö AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Hvad er vuln├®rabiliteten/exploitet omkring

Open VSX Registry gemmer udvidelsesikoner som SVG-filer uden sanitering. Filen serveres med Content-Type: image/svg+xml og uden sikkerhedsheadere som Content-Security-Policy eller Content-Disposition: attachment. Dette g├©r det muligt for en angriber at indlejre JavaScript i SVG-filen og f├Ñ det udf├©rt i offerets browser.

Ved lokal storage (f.eks. selv-hostet Open VSX) udf├©res scriptet p├Ñ applikationens oprindelsesdom├ªne, hvilket kan f├©re til en stored XSS s├Ñrbarhed.

Inicia sesión para indicar que te gusta, compartir y comentar.

Crear nuevo blog

Otro

Titre (en fran├ºais)

Titre (en fran├ºais)R├®sum├® (en fran├ºais)Le vuln├®rabilit├® CVE-2026-12866 concerne le package...

Por 2026-06-30 05:09:45 0 8

Ciberseguridad

Ï╣┘å┘êÏº┘å (Ï»Ï▒ ┘üÏºÏ▒Ï│█î)

Ï╣┘å┘êÏº┘å (Ï»Ï▒ ┘üÏºÏ▒Ï│█î)Ï«┘äÏºÏÁ┘ç (Ï»Ï▒ ┘üÏºÏ▒Ï│█î)Ïó┘å┌å┘ç ┘àÏ┤┌®┘ä ÏºÏ│Ï¬┘üÏºÏ»┘ç ÏºÏ▓...

Por 2026-06-30 17:56:26 0 261

Ciberseguridad

T├¡tulo (em portugu├¬s)

T├¡tulo (em portugu├¬s)Sum├írio (em portugu├¬s)Este artigo explora a vulnerabilidade...

Por 2026-06-30 05:37:05 0 9

Ciberseguridad

Titlu (Romaian)

TitluVulnerabilitate CVE-2026-12866: Detalii CVSS, EPSS ╚Öi CISA KevSumarPachetul expr-eval...

Por 2026-06-30 06:41:19 0 8

Ciberseguridad

Titel (i dansk)

Titel (i dansk)Sammendrag (i dansk)CVE-2026-4983 er en sikkerhedsvilk├Ñrlighedsfejl, der kan lede...

Por 2026-06-30 18:15:54 0 262