VULNERABILIDADDetectada 03 NOV · 18:06

CVE-2026-63197 Cross-site scripting (XSS) en la API de recuperación de archivos subidos de traQ

traQ antes de 3.28.3, en instancias configuradas con TRAQ_STORAGE_TYPE=local, puede devolver contenido SVG o HTML subido por usuarios desde el endpoint /files/{fileId} para su renderización directa en el navegador. Un atacante con capacidad de subir archivos puede inducir a otro usuario a abrir la URL del archivo y ejecutar JavaScript en su navegador. Se corrige en la versión 3.28.3.

7.3ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

traPtitech traQ
< 3.28.3

Qué hacer

Verificá si usás traQ y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.3 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadNinguna

Descripción original

traQ is a messenger application built for Digital Creators Club traP. Prior to 3.28.3, instances configured with TRAQ_STORAGE_TYPE=local can return user-uploaded SVG or HTML content from the /files/{fileId} retrieval endpoint for direct browser rendering. An attacker with file-upload capability can provide crafted active content and induce another user to open its file URL, causing attacker-controlled JavaScript to execute in the victim's browser. This issue is fixed in version 3.28.3.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.