CVE-2026-27210

Pannellum, web için hafif, ücretsiz ve açık kaynaklı bir panorama görüntüleyicidir. 2.5.6 ile 3.5.0 arasındaki sürümlerde, hot spot öznitelikleri yapılandırma özelliği, HTML olay işleyici öznitelikleri de dahil olmak üzere herhangi bir özniteliğin ayarlanmasına izin vererek potansiyel XSS saldırılarına olanak tanımaktadır. Bu durum, bağımsız görüntüleyici HTML dosyasını barındıran web sitelerini ve güvenilmeyen JSON yapılandırma dosyalarının diğer tüm kullanımlarını (escapeHTML parametresinin korumalarını atlayarak) etkilemektedir. Bazı olaylar herhangi bir ek kullanıcı etkileşimi olmadan tetiklendiğinden, kötü amaçlı bir yapılandırma dosyasına işaret eden bağımsız bir görüntüleyici URL'sini ziyaret etmek —ek bir kullanıcı etkileşimi olmaksızın— güvenlik açığını tetiklemek ve rastgele JavaScript kodu çalıştırmak için yeterlidir; bu da örneğin sayfa içeriğinin rastgele içerikle değiştirilmesine ve sayfanın, bağımsız görüntüleyici HTML dosyasını barındıran web sitesi tarafından barındırılıyormuş gibi görünmesine neden olabilir. Bu sorun 2.5.7 sürümünde düzeltilmiştir. Geçici çözüm olarak, Content-Security-Policy başlığının script-src-attr 'none' şeklinde ayarlanması, satır içi olay işleyicilerin yürütülmesini engelleyerek bu güvenlik açığını hafifletecektir. XSS riskini azaltmak için pannellum.htm dosyasını, kullanıcı kimlik doğrulamasıyla çerezleri paylaşan bir etki alanında barındırmayın.