CVE-2026-28499mediumCWE-116CWE-79CWE-80

CVE-2026-28499: fallo de gravedad media en vapor leaf-kit

LeafKit's HTML escaping may be skipped for Collection values, enabling XSS

Publicada el

Seguir esta CVE+ Monitorear leaf-kit

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.9epss 0.3%
En resumen

El motor de plantillas LeafKit no escapa correctamente HTML al imprimir colecciones (arrays o diccionarios), permitiendo que código malicioso se muestre sin protección si se incluyen datos no confiables.

Detalle técnico

LeafKit anterior a la versión 1.14.2 no codifica adecuadamente entidades HTML para valores de tipo colección en la sintaxis de plantilla #(value), posibilitando ataques XSS almacenados o reflejados cuando datos controlados por el usuario se renderizan sin sanitización. La vulnerabilidad surge de lógica de codificación de salida incompleta específica para tipos array y diccionario.

Resumen generado y traducido por IA a partir de la descripción oficial.
LeafKit is a templating language with Swift-inspired syntax. Prior to version 1.14.2, HTML escaping doesn't work correctly when a template prints a collection (Array / Dictionary) via `#(value)`. This can result in XSS, allowing potentially untrusted input to be rendered unescaped. Version 1.14.2 fixes the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N
Productos afectados
vapor · leaf-kit
CVEs relacionadas — vapor leaf-kit

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-37634HIGHLeafKit allows XSS with untrusted user inputEPSS 0.7%CVE-2026-27120MEDIUMLeaf-kit html escaping does not work on characters that are part of extended grapheme clusterEPSS 0.3%