Huginn before 2026.11.05 Stored XSS via OAuth Service Display Name

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Huginn before 2026.11.05 contains a stored cross-site scripting vulnerability in the service_label helper that marks unescaped OAuth service display names as html_safe. Authenticated attackers can connect an OAuth account with a crafted nickname, name or email and share it globally, executing JavaScript when victims attach it to Agents and view them, exposing Credentials, Agents and Events, and admin actions if the victim is an administrator.

Etkilenen sürümler1 yazılım

Kaynaklar9 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…huginn/security/advisories/GHSA-rjw9-xx87-f2ww Üretici bülteni
• github.com/…ommit/92229a5e7343bfffc740d31e42b9654b212b678b Yama
• hackmd.io/@leediay/SJtUoLFTfx Üçüncü taraf
• vulncheck.com/…1.05-stored-xss-via-oauth-service-display-name Üçüncü taraf
• github.com/…/v2026.11.01/app/helpers/application_helper.rb Diğer
• github.com/huginn/huginn/releases/tag/v2026.11.05 Diğer
• github.com/huginn/huginn Diğer

Kayıt geçmişi

1. 5 Kas 2026 18:11Yayımlandı

İlgili açıklar

• 5,4 CVE-2026-75599HomeBox: Stored XSS via `javascript:` URI in Custom Entity Fields
• 7,6 CVE-2026-102615HeyForm: Uploaded HTML files are served as text/html on the app origin with no CSP — stored XSS
• 10,0 CVE-2026-96677Apache Juneau HTML belge şablonunda istek değişkenleri nedeniyle siteler arası betik çalıştırma (XSS)
• 5,4 CVE-2026-117679A cross-site scripting vulnerability exists in SHIRASAGI, which may allow an authenticated attacker to execute arbitr…
• 6,4 CVE-2026-104812Redux Framework <= 4.5.16 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'multi_media' Field Array Key
• 6,4 CVE-2026-120533Redux Framework <= 4.5.16 - Authenticated (Custom+) Stored Cross-Site Scripting via theme_opts Parameter via User Profile