CVE-2026-55422
conda-forge.org: XSS DOM armazenado via dangerouslySetInnerHTML não sanitizado no painel de status
- Publicado
- 23 de out. de 2026
- Atualizado
- 23 de out. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 29 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:NBaixo · próximos 30 dias
- Percentil
- 5,3%
- Data do modelo
- 25 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
conda-forge é uma organização do GitHub que contém repositórios de receitas conda. Nos commits 85748ad2368a e anteriores, dois componentes React renderizam strings de origem externa diretamente como HTML usando dangerouslySetInnerHTML, sem qualquer sanitização (o projeto não possui DOMPurify ou dependência equivalente). Os arquivos JSON são produzidos automaticamente pelo bot autotick do conda-forge (regro/cf-scripts) enquanto ele processa cada feedstock do conda-forge e seus artefatos de código-fonte upstream. As strings de erro/status incorporam saída bruta capturada desses processos (logs de build, saída de patch, tracebacks). O site as renderiza literalmente como HTML. No momento da publicação, não há patches disponíveis publicamente.
Fontes
PoCs & write-ups para CVEs que reportei (divulgação coordenada; apenas publicados e corrigidos)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.