CVE-2026-55422
conda-forge.org: XSS DOM almacenado mediante dangerouslySetInnerHTML sin sanear en el panel de estado
- Publicado
- 23 oct 2026
- Actualizado
- 23 oct 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 29 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 5,3 %
- Fecha del modelo
- 25 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
conda-forge es una organización de GitHub que contiene repositorios de recetas de conda. En los commits 85748ad2368a y anteriores, dos componentes de React renderizan cadenas de origen externo directamente como HTML usando dangerouslySetInnerHTML, sin ninguna sanitización (el proyecto no tiene DOMPurify ni una dependencia equivalente). Los archivos JSON son producidos automáticamente por el bot autotick de conda-forge (regro/cf-scripts) mientras procesa cada feedstock de conda-forge y sus artefactos de código fuente upstream. Las cadenas de error/estado incorporan la salida sin procesar capturada de esos procesos (registros de compilación, salida de parches, tracebacks). El sitio web las renderiza literalmente como HTML. En el momento de la publicación, no hay parches disponibles públicamente.
Fuentes
PoCs y write-ups de CVEs que reporté (divulgación coordinada; solo publicados y parcheados)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.