Unknown · Linkwarden · CVE-2026-42455
**Nome do Software Vulnerável e Versões Afetadas**
Linkwarden versões anteriores a 2.14.0
**Descrição**
O endpoint de upload de arquivo "POST /api/v1/archives/[linkId]?format=4" aceita arquivos HTML sem sanitizar o conteúdo JavaScript. Quando o arquivo é acessado via "GET /api/v1/archives/[linkId]?format=4", o HTML é servido com Content-Type: text/html a partir da origem sem um cabeçalho Content-Security-Policy. Isso permite o Cross-Site Scripting (XSS) armazenado, que é uma falha onde um script malicioso é armazenado permanentemente no servidor alvo, permitindo a execução de JavaScript arbitrário no contexto da sessão autenticada.
**Recomendações**
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.