CVE-2026-27210

Pannellum veb üçün yüngül, pulsuz və açıq mənbəli panorama baxıcısıdır. 2.5.6-dan 3.5.0-a qədər olan versiyalarda, hot spot atributlarının konfiqurasiya xüsusiyyəti HTML hadisə idaredici atributları da daxil olmaqla hər hansı bir atributun təyin edilməsinə icazə verirdi ki, bu da potensial XSS hücumlarına yol açır. Bu, müstəqil baxıcı HTML faylını yerləşdirən veb saytlara və etibarsız JSON konfiqurasiya fayllarının istifadə edildiyi digər hallara (escapeHTML parametrinin qorumalarını yan keçməklə) təsir göstərir. Müəyyən hadisələr əlavə istifadəçi qarşılıqlılığı olmadan baş verdiyi üçün, zərərli konfiqurasiya faylına yönləndirilmiş müstəqil baxıcı URL-nə daxil olmaq — əlavə istifadəçi qarşılıqlığı olmadan — boşluğun tetiklənməsi və ixtiyari JavaScript kodunun icrası üçün kifayətdir. Bu, məsələn, səhifənin məzmununu ixtiyari məzmunla əvəzləyə və onu müstəqil baxıcı HTML faylını yerləşdirən veb sayt tərəfindən təmin edilirmiş kimi göstərə bilər. Bu problem 2.5.7 versiyasında düzəldilmişdir. Keçici həll yolu kimi, Content-Security-Policy başlığını script-src-attr 'none' olaraq təyin etmək sətiriçi hadisə idarəedicilərinin icrasını bloklayacaq və bu boşluğu azaldacaqdır. XSS riskini azaltmaq üçün pannellum.htm faylını istifadəçi autentifikasiyası ilə cookie-ləri paylaşan domendə yerləşdirməyin.