CVE-2026-48823

Shaarli kişisel bir yer imleme servisidir. 0.16.1 ve önceki sürümler, Shaarli'nin etiket filtreleme işlevselliğinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Kimliği doğrulanmış bir kullanıcı, bir yer imi (Shaare) oluştururken etiketler alanına rastgele JavaScript enjekte edebilir. Kötü niyetli yük, depolanır ve daha sonra kullanıcılar ana sayfadaki "Filter by tag" arama özelliğiyle etkileşime girdiğinde çalıştırılır. Etiketler alanındaki kullanıcı tarafından sağlanan giriş, etiket filtreleme arayüzünde işlenmeden önce uygun şekilde temizlenmez veya çıktı kaçış karakterleri uygulanmaz. Bir yer imi, etiket alanı içinde kötü niyetli bir yükle oluşturulduğunda, bu yük veritabanında saklanır. Daha sonra, bir kullanıcı ana sayfadaki "Filter by tag" işlevselliğini kullanarak arama yaptığında, uygulama eşleşen etiketleri dinamik olarak işler. Eğer etiket değeri JavaScript olay yöneticileri içeren HTML içeriyorsa, bu durum DOM'a enjekte edilir. Bu durum; yöneticiler ve ayrıcalıklı kullanıcılar dahil olmak üzere "Filter by tag" arama işlevselliği ile etkileşime giren herkesi etkiler. Bu sorun 0.16.2 sürümünde düzeltilmiştir.