CVE-2026-90528: XSS в TDuckApp tduck-platform через submitShowCustomPageContent
В TDuckApp tduck-platform до версии 5.3 включительно обнаружена уязвимость кросс-сайтового скриптинга (XSS) в компоненте Form Write View. Атака возможна удалённо и не требует аутентификации, но нуждается в взаимодействии пользователя. Уровень критичности — средний (CVSS 5.1), производитель пока не выпустил исправление.
Подробности
Уязвимость затрагивает tduck-platform вплохая до версии 5.3 включительно (подтверждённый диапазон — «up to 5.3»). Проблемный файл —tduck-front/src/views/form/write/index.vue. Причиной стало некорректная обработка аргумента submitShowCustomPageContent: значение этого параметра не проходит достаточной санитизации, что позволяет внедрить и выполнить произвольный JavaScript-код в браузере жертвы.
Тип уязвимости — CWE-79 (Improper Neutralization of Input During Web Page Generation, «cross site scripting»). Оценка по CVSS v3.1 составляет 5.1 (MEDIUM). Вектор атаки — сетевой (AV:N), сложность низкая (AC:L), привилегии не требуются (PR:N), однако необходимо взаимодействие пользователя (UI:R). Область влияния ограничена изменением содержимого страницы (C:L / I:L / A:N в терминах частичного воздействия на конфиденциальность и целостность).
Эксплуатация возможна удалённо: злоумышленник формирует ссылку или сценарий, при открытии которого в контексте уязвимой страницы исполняется вредоносный скрипт. Это позволяет перехватывать сессионные данные, подменять содержимое формы, перенаправлять пользователя на фишинговые ресурсы или выполнять действия от его имени.
Важно: производитель был уведомлён об уязвимости через issue-репорт, но на момент публикации записи CVE не отреагировал и не выпустил патч.
Что делать
Поскольку официального обновления нет, рекомендуются следующие меры:- Ограничить доступ к публичным формам tduck-platform до выпуска патча — по возможности закрыть их корпоративной аутентификацией или сетевыми ACL.
- Внедрить строгую Content Security Policy (CSP), запрещающую выполнение inline-скриптов и загрузку скриптов со сторонних доменов.
- На стороне reverse-proxy или WAF добавить правила фильтрации параметров, связанных с
submitShowCustomPageContent, и блокировать подозрительные payload'ы. - Провести санитизацию и экранирование вывода в кастомных шаблонах формы, если вы используете собственную сборку фронтенда.
- Следить за официальным репозиторием TDuckApp tduck-platform и оперативно устанавливать исправление, как только оно появится.
Источник: CVE Project (cvelistV5)