PT-2026-32930 · Docmost · Docmost

0Xmrma · Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-34212

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Docmost versões anteriores a 0.71.0

Description A neutralização inadequada de URLs de anexos permite que um usuário autenticado de baixo privilégio armazene uma URL javascript: maliciosa dentro de um nó de anexo no conteúdo da página. Quando outro usuário visualiza a página e ativa o link ou ícone do anexo, o JavaScript controlado pelo invasor é executado no contexto da origem do Docmost. Este é um problema de Cross-Site Scripting (XSS) Armazenado, onde um script é permanentemente armazenado no servidor alvo e executado no navegador da vítima.

Recommendations Atualizar para a versão 0.71.0.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-34212

Produtos afetados

Docmost

Referências · 4

• https://github.com/docmost/docmost/security/advisories/GHSA-cf68-cff9-hq4w · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34212 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2044295301389766976 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2044338914065063997 · Publicação no Twitter