CVE-2026-55422
conda-forge.org: хранимый DOM XSS через несанитизированный dangerouslySetInnerHTML в панели состояния
- Опубликовано
- 23 окт. 2026 г.
- Обновлено
- 23 окт. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 29 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 5,3 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
conda-forge — это организация на GitHub, содержащая репозитории с рецептами conda. В коммитах 85748ad2368a и более ранних два React-компонента рендерят строки из внешних источников напрямую как HTML с помощью dangerouslySetInnerHTML без какой-либо санитизации (в проекте нет DOMPurify или аналогичной зависимости). JSON-файлы создаются автоматически ботом conda-forge autotick (regro/cf-scripts) в процессе обработки каждого feedstock conda-forge и его исходных артефактов из upstream. Строки ошибок/статусов содержат необработанный вывод, захваченный из этих процессов (журналы сборки, вывод патчей, трассировки). Веб-сайт отображает их дословно как HTML. На момент публикации общедоступных патчей нет.
Источники
PoC и разборы для CVE, о которых я сообщал (скоординированное раскрытие; только опубликованные и исправленные)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.