VULNERABILIDADDetectada 06 NOV · 17:13

CVE-2026-62345 XSS almacenado en Map Marker de Wanderer vía waypoint.icon

En Wanderer, antes de 0.19.3, un usuario autenticado puede almacenar un valor waypoint.icon manipulado que createMarkerFromWaypoint() pasa a FontawesomeMarker, donde insertAdjacentHTML lo inserta sin validar en el marcado del mapa. Al abrir el mapa afectado se ejecuta script del atacante en el navegador de la víctima, lo que puede exponer tokens de sesión o realizar acciones en su nombre. Datos federados también pueden alcanzar el sink sin cuenta local. Corregido en 0.19.3.

7.6ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

open-wanderer wanderer
< 0.19.3

Qué hacer

Verificá si usás wanderer y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.6 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioRequerida
AlcanceCambiado
ConfidencialidadAlta
IntegridadBaja
DisponibilidadNinguna

Descripción original

Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, an authenticated user can store a crafted waypoint.icon value that createMarkerFromWaypoint() passes into FontawesomeMarker, where insertAdjacentHTML inserts the unvalidated value into map marker markup. Opening the affected trail map executes attacker-controlled script in the viewer's browser, which can expose session tokens or perform actions as the victim. Federated waypoint data can also reach the sink without a local account on the receiving instance. This issue is fixed in version 0.19.3.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.