CVE-2026-54165

Dobase, yüklenebilir araçlara sahip açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir çalışma alanıdır. 2026.06.03 öncesindeki sürümlerde, kimlik doğrulaması gerektirmeyen herkese açık paylaşılan klasör resim galerisinde tek tıkla tetiklenen saklı DOM tabanlı siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bir dosyanın `name` parametresi tamamen saldırgan tarafından kontrol edilmektedir ve hiçbir zaman temizlenmemektedir. Bu değer, ERB ile kaçırılmış bir `data-name` özniteliği üzerinden aktarılmakta, `el.dataset.name` tarafından ham değerine geri çözülmekte ve ardından herhangi bir kaçırma işlemi yapılmadan `public-gallery` Stimulus denetleyicisi tarafından `innerHTML` içine yeniden enjekte edilmektedir. Dosyalar klasörünü paylaşabilen kimliği doğrulanmış herhangi bir çalışma alanı üyesi bir yük (payload) saklayabilir; kurban ise herkese açık paylaşım bağlantısına sahip olan herkes olabilir (kimlik doğrulaması gerekmez). Genel Content-Security-Policy yalnızca raporlama modunda gönderildiğinden (zorunlu kılınmadığından), satır içi bir `onerror` işleyici çalışmaktadır; bu durum, CSP ile hafifletilmiş bir enjeksiyon değil, çalışan bir XSS'dir. 2026.06.03 sürümü sorunu gidermektedir.