PT-2026-41718 · Unknown · Dumbassets

Yoyochaud · Publicado 2026-05-18 · Atualizado 2026-05-20 · CVE-2026-45231

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas DumbAssets versões 1.0 through 1.0.11

Description Um problema de cross-site scripting armazenado existe em campos de ativos, especificamente name, description, modelNumber, serialNumber e tags. Esses campos são armazenados sem sanitização no lado do servidor e renderizados usando innerHTML sem escape no lado do cliente. Atacantes podem usar endpoints de API de ativos para criar ou atualizar ativos com payloads de HTML ou JavaScript, permitindo a execução de scripts arbitrários nos navegadores de usuários que visualizam a lista de ativos. Se a Content-Security-Policy estiver desativada, esses scripts injetados podem estabelecer conexões irrestritas com serviços de rede internos.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-45231

Produtos afetados

Dumbassets

Referências · 6

• https://github.com/DumbWareio/DumbAssets/pull/135 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-45231 · Nota de Segurança
• https://t.me/CVEtracker/54156 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2056994980997071312 · Publicação no Twitter
• https://vulncheck.com/advisories/dumbassets-stored-cross-site-scripting-via-asset-fields · Nota
• https://twitter.com/CVEnew/status/2056994239683396090 · Publicação no Twitter