CVE-2026-62346 XSS almacenado en Elevation Profile de Wanderer vía waypoint.name e icon
En Wanderer, antes de 0.19.3, un usuario local autenticado puede enviar valores waypoint.name y waypoint.icon manipulados que el gráfico de elevación interpola en una plantilla innerHTML en elevationprofile.ts sin codificación HTML ni validación de iconos. La víctima que ve el perfil de elevación ejecuta el script del atacante, que puede exponer datos de sesión o realizar acciones en su contexto. Waypoints federados permiten lo mismo sin cuenta local. Corregido en 0.19.3.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 16
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
open-wanderer wanderer
< 0.19.3
Qué hacer
- Verificá si usás wanderer y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.6 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, an authenticated local user can submit crafted waypoint.name and waypoint.icon values that the trail elevation graph interpolates into an innerHTML template in web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts without HTML encoding or icon validation. A victim viewing the elevation profile executes the attacker-controlled script in their browser. Separately, federated waypoints can deliver the same malicious fields across instances without requiring the attacker to have a local account on the receiving instance. The script can expose session data or perform actions in the victim's context. This issue is fixed in version 0.19.3.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.