PT-2026-31019 · Cronicle · Cronicle

Morimori-Dev · CVE-2026-39400 · Publicado 2026-04-07 · Atualizado 2026-04-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Cronicle versões anteriores a 0.9.111

Description Cronicle é um agendador e executor de tarefas multi-servidor, com uma interface de usuário web. Um usuário não-administrador com privilégios create events e run events pode injetar JavaScript arbitrário através de campos de saída de tarefas, incluindo html.content, html.title, table.header, table.rows e table.caption. O servidor armazena esses dados sem sanitização, e o cliente os renderiza via innerHTML na página Detalhes da Tarefa.

Recommendations Atualize para a versão 0.9.111 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-39400

GHSA-36Q6-PWXV-J545

Produtos afetados

Cronicle

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/39xxx/CVE-2026-39400.json · Exploit
• https://github.com/jhuckaby/Cronicle/security/advisories/GHSA-36q6-pwxv-j545 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2041737327626604915 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-39400 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041711881908580395 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39400 · Nota de Segurança