defineid/wildfireCVE-2026-39154 · XSS armazenado no CometChat JS SDK
Cross site scripting armazenado. CWE 79. CometChat JS SDK 3.0.12. Divulgado em fevereiro de 2026 como solicitação 42660. O fornecedor o marcou como Resolvido. CVE atribuído pela MITRE.
Um usuário autenticado injeta uma carga útil de JavaScript persistente em uma mensagem de grupo. O vetor é o parâmetro data.text do endpoint /v3.0/messages. A plataforma armazena a carga útil. Ela é executada no navegador de cada membro do grupo que abre a conversa. Nenhuma interação da vítima é necessária.
O texto da mensagem enviado pelo endpoint de grupo é armazenado e posteriormente renderizado para outros membros sem codificação de saída contextual. A marcação dentro de data.text é interpretada como HTML em vez de ser exibida como texto simples.
As cargas úteis permanecem na conversa e são armazenadas pela plataforma.
Abrir a conversa executa a carga útil na origem do CometChat.
payload.txt contém a requisição elaborada. Envie-a como um membro autenticado de um grupo seu. Abra a conversa como qualquer membro. O script é executado nessa sessão. Uma prova de conceito em vídeo completa foi fornecida ao fornecedor durante a divulgação.
Execução arbitrária de script na sessão de cada membro do grupo. Roubo de sessão e tokens. Ações em nome da vítima. Divulgação de dados da conversa.
Codifique a saída de forma contextual ou sanitize data.text antes de renderizá-lo para outros membros. Teste apenas contra um aplicativo que você possua.
Abdulaziz Alasaiqah · https://azoz.my/writeups.html
