PT-2026-50535 · Shaarli · Shaarli

Publicado 2026-06-17 · Atualizado 2026-06-18 · CVE-2026-48822

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:L/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Shaarli versões anteriores a 0.16.2

Descrição Um problema de Cross-Site Scripting (XSS) armazenado existe no processo de conversão de Markdown para HTML usado no campo de Descrição do Marcador. Um usuário autenticado pode injetar um URI javascript: malicioso dentro de um link Markdown do estilo de referência. O problema ocorre na função filterProtocols() dentro de BookmarkMarkdownFormatter.php, que utiliza uma expressão regular para sanitizar links. Esta regex não detecta links do estilo de referência porque eles são resolvidos pelo analisador Markdown após o pré-processamento, permitindo que a função filterProtocols() ignore a inspeção da URL real usada nessas referências.

Recomendações Atualizar para a versão 0.16.2.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-48822

Produtos afetados

Shaarli

Referências · 4

• https://github.com/shaarli/Shaarli/releases/tag/v0.16.2 · Nota
• https://github.com/shaarli/Shaarli/security/advisories/GHSA-2hgr-63wv-x462 · Nota
• https://twitter.com/CVEnew/status/2067350973983367312 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2067396898105745535 · Publicação no Twitter