CVE-2026-47665
Açıklama
Penpot, açık kaynaklı bir tasarım ve prototipleme platformudur. 2.14.3 dahil olmak üzere bu sürüme kadar olan sürümlerde Penpot, içeriği ham metin olarak saklanan ve herhangi bir temizleme işlemi yapılmadan innerHTML ile sayfaya işlenen dosya yorumları aracılığıyla kalıcı siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Arka uç yalnızca uzunluk kontrolü uyguladığı ve ön uç yorum içeriğini doğrudan innerHTML aracılığıyla yazdığı için, paylaşılan bir dosyaya yorum yapabilen herhangi bir ekip üyesi, görsel hata işleyicisi gibi HTML veya diğer tüm işbirlikçilerin tarayıcısında çalışan betik yerleştirebilir. Saldırı pasiftir: etkilenen dosyadaki yorumlar panelini açan herhangi bir kullanıcı, Penpot kaynağında betik çalıştırılmasını tetikleyerek oturum çerezlerinin çalınmasına, mağdur adına eylemler gerçekleştirilmesine ve mağdurun dosya ve projelerine erişilmesine olanak tanır. Bu sorun 2.15.3 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| penpot penpot | < 2.15.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.