CVE-2026-118492 Cross-site scripting en langium-sprotty de Eclipse Langium
En Eclipse Langium 3.0.0 y posteriores, el paquete langium-sprotty no escapa en HTML los mensajes de diagnóstico antes de mostrarlos en el popup de hover por defecto de addHoverPopupHandler. Si una gramática Langium permite que el texto de referencias cruzadas contenga marcado HTML, una referencia cruzada sin resolver genera un mensaje de diagnóstico que incluye el texto de referencia literal. Al abrir un diagrama Sprotty para un archivo fuente malicioso en esas condiciones y pasar el cursor sobre el marcador de…
CVSS 4.0
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Eclipse Foundation Eclipse Langium
desde 3.0.0 hasta 4.4.0
Qué hacer
- Verificá si usás Eclipse Langium y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 2.0 BAJA
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/AU:N/R:A/V:D
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Baja
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
In Eclipse Langium versions 3.0.0 and later, the langium-sprotty package does not HTML-escape diagnostic messages before rendering them in the default hover popup provided by `addHoverPopupHandler`. If a Langium grammar allows cross-reference text to contain HTML markup (such as through a STRING terminal), an unresolved cross-reference produces a diagnostic message that includes the literal ref text. When a Sprotty diagram is opened for a malicious source file under these conditions, and a user hovers over the corresponding error marker, attacker-controlled JavaScript can execute in the browser or webview.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.