CVE-2026-54165

Dobase quraşdırıla bilən alətlərə malik açıq mənbəli, özünə aid host edilən iş sahəsidir. 2026.06.03 versiyasından əvvəlki versiyalarda, autentifikasiya tələb olunmayan ictimai paylaşılmış qovluq şəkil qalereyasında bir kliklə aktivləşən saxlanılan DOM-əsaslı saytlararası skriptinq (XSS) zəifliyi mövcuddur. Faylın `name` parametri tamamilə hücum edən tərəfin nəzarətindədir və heç vaxt təmizlənmir. Bu parametr ERB ilə qaçırılmış (escaped) `data-name` atributu vasitəsilə ötürülür, `el.dataset.name` tərəfindən orijinal dəyərinə qaytarılır və sonra heç bir qaçırma prosesi olmadan `public-gallery` Stimulus kontrolleri tərəfindən `innerHTML`-ə yenidən yerləşdirilir. Fayllar qovluğunu paylaşa bilən hər hansı autentifikasiya olunmuş iş sahəsi üzvü zərərli kodu saxlaya bilər; qurban isə ictimai paylaşım linkinə malik olan istənilən şəxsdir (autentifikasiya tələb olunmur). Qlobal Content-Security-Policy yalnız hesabat rejiminə (report-only) göndərildiyi üçün (tətbiq edilmir), sətirdaxili `onerror` idarəedicisi icra olunur — bu, CSP ilə yumşaldılmış inyeksiya deyil, icra olunan XSS-dir. 2026.06.03 versiyası problemi aradan qaldırır.