PT-2026-61601 · Frogman · Frogman

CVE-2026-46516 · Publicado 2026-07-20 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Frogman versões anteriores a 1.6.6

Description O formatador de markdown do console de chat na função formatMarkdown() dentro de assets/js/chat.js insere incorretamente grupos de captura de regex como HTML bruto para código inline, negrito, links de markdown e links de download. Isso permite que um invasor injete payloads de HTML ou JavaScript por meio de campos controlados pelo usuário, como nomes de extensões, descrições de grupos de toque, nomes de IVR e descrições de fila. Quando outro administrador visualiza essas respostas via chat do Frogman, o payload é executado na sessão do visualizador usando suas permissões específicas.

Recommendations Atualizar para a versão 1.6.6.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-46516

GHSA-7QVV-VGW9-RCXG

Produtos afetados

Frogman

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/46xxx/CVE-2026-46516.json · Exploit
• https://github.com/mwtcmi/frogman/security/advisories/GHSA-7qvv-vgw9-rcxg · Nota
• https://github.com/mwtcmi/frogman/commit/f0d2ba1785abb31b7d5debeae526f9e36962b55e · Nota
• https://twitter.com/infoflowcloud/status/2079240365307994604 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-46516 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-46516 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2079238946907730109 · Publicação no Twitter