PT-2026-42227 · Telejson · Telejson

Niccolò Parlanti · Publicado 2026-04-02 · Atualizado 2026-05-20 · CVE-2026-47099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas TeleJSON versões anteriores a 6.0.0

Description Existe um problema na função parse() envolvendo a desserialização insegura. Ao reconstruir protótipos de objetos, um reviver personalizado passa o valor da propriedade constructor-name diretamente para new Function() sem sanitização. Isso permite que um invasor execute JavaScript arbitrário ao entregar um payload JSON manipulado, por exemplo, através de postMessage em contextos de comunicação entre frames.

Recommendations Atualize para a versão 6.0.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-47099

GHSA-CCGF-5RWJ-J3HV

Produtos afetados

Telejson

Referências · 6

• 🔥 https://github.com/Niccolo10/Security-Advisories/blob/main/CVE-2026-47099/cve-2026-47099.md · Exploit
• https://github.com/storybookjs/telejson · Nota
• https://github.com/storybookjs/telejson/security/advisories/GHSA-ccgf-5rwj-j3hv · Correção, Aviso do Fabricante
• https://vulncheck.com/advisories/telejson-dom-based-xss-via-parse-function · Nota
• https://osv.dev/vulnerability/GHSA-ccgf-5rwj-j3hv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47099 · Nota de Segurança