CVE-2026-55422

中已发布

conda-forge.org：状态仪表板中通过未净化的 dangerouslySetInnerHTML 导致的存储型 DOM XSS

已发布: 2026年10月23日
已更新: 2026年10月23日
分配 CNA: GitHub_M
观察到的证据: 2026年8月29日

初级CVSS

4.6/ 10中

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

EPSS概率估计

0.2%

低 · 未来 30 天

百分位: 5.3%
型号日期: 2026年10月27日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

conda-forge 是一个 GitHub 组织，包含存放 conda recipe 的仓库。在提交 85748ad2368a 及更早版本中，有两个 React 组件使用 dangerouslySetInnerHTML 将外部来源的字符串直接渲染为 HTML，且未进行任何清理（该项目没有 DOMPurify 或等效依赖）。JSON 文件由 conda-forge 的 autotick 机器人（regro/cf-scripts）在处理每个 conda-forge feedstock 及其上游源构件时自动生成。错误/状态字符串中嵌入了从这些进程捕获的原始输出（构建日志、补丁输出、回溯信息）。网站将这些内容原样渲染为 HTML。截至发布时，尚无公开可用的补丁。

来源

security-researchPoC
我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。