CVE-2026-28499: falha de média gravidade em vapor leaf-kit
LeafKit's HTML escaping may be skipped for Collection values, enabling XSS
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O mecanismo de templates LeafKit não escapa corretamente HTML ao exibir coleções (arrays ou dicionários), permitindo que código malicioso seja renderizado sem proteção se dados não confiáveis forem incluídos.
LeafKit anterior à versão 1.14.2 não codifica adequadamente entidades HTML para valores do tipo coleção na sintaxe de template #(value), possibilitando ataques XSS armazenados ou refletidos quando dados controlados pelo usuário são renderizados sem sanitização. A vulnerabilidade surge de lógica de codificação de saída incompleta específica para tipos array e dicionário.
No mesmo produto, das mais perigosas para as menos.