CVE-2026-47665

Penpot açıq mənbəli dizayn və prototipləmə platformasıdır. 2.14.3 versiyadək olan versiyalarda Penpot fayl şərhləri vasitəsilə yadda saxlanılan saytlararası skriptinqə (stored XSS) qarşı həssasdır; şərhlərin məzmunu xam mətn kimi saxlanılır və heç bir təmizləmə prosesi olmadan innerHTML ilə səhifədə əks olunur. Backend yalnız uzunluq yoxlamasını tətbiq etdiyi və frontend şərh məzmununu birbaşa innerHTML vasitəsilə yazdığı üçün, paylaşılmış faylda şərh yaza bilən hər hansı komanda üzvü digər bütün əməkdaşların brauzerində icra olunan təsvir xətası idarəedicisi və ya skript kimi HTML elementlərini yerləşdirə bilər. Hücum passivdir: təsirlənmiş faylda şərhlər panelini açan hər bir istifadəçi Penpot mənşəyində skriptin icrasını tetikləyir ki, bu da sessiya kukilərinin oğurlanmasına, qurban adına hərəkətlərin yerinə yetirilməsinə, onun fayllarına və layihələrinə girişə imkan verir. Bu problem 2.15.3 versiyasında düzəldilmişdir.