CVE-2026-27458

LinkAce, web sitesi bağlantılarını toplamak için kullanılan self-hosted bir arşivdir. 2.4.2 ve altındaki sürümler, listeler için olan Atom feed uç noktası üzerinden (/lists/feed) Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Kimliği doğrulanmış bir kullanıcı, liste açıklamasına XML CDATA bölümünden kaçan, Atom XML belgesine yerel bir SVG öğesi ekleyen ve feed URL'si ziyaret edildiğinde doğrudan tarayıcıda rastgele JavaScript çalıştıran bir CDATA bozucu yük enjekte edebilir. Herhangi bir RSS okuyucusuna veya ek işleme bağlamına gerek yoktur; tarayıcının yerel XML ayrıştırıcısı, enjekte edilen SVG'yi işler ve onload olay yöneticisini tetikler. Bu zafiyet, listeler feed şablonunun liste açıklamalarını, bir CDATA bloğu içinde temizleme işlemi yapmadan Blade'in ham sözdizimini ({!! !!}) kullanarak çıktı vermesinden kaynaklanmaktadır. Kritik detay, çıktının <![CDATA[...]]> içerisinde olması nedeniyle, bir saldırganın CDATA bölümünü vaktinden önce kapatmak için ]]> dizisini enjekte edebilmesi ve ardından tarayıcının Atom belgesinin bir parçası olarak yerel olarak ayrıştırdığı ve çalıştırdığı rastgele XML/SVG öğeleri ekleyebilmesidir. Bu sorun 2.4.3 sürümünde düzeltilmiştir.