XSS (Cross-Site Scripting) dans trix (CVE-2026-73427)
Résumé
XSS dans trix (CVE-2026-73427). Risque d'opérations non autorisées ou de divulgation. Exploitable via StringPiece.fromJSON. Atténuation : mise à jour vers 2.1.18 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
The Trix editor, in versions prior to 2.1.18, is vulnerable to XSS when a crafted application/x-trix-document JSON payload is dropped into the editor in environments using the fallback Level0InputController (e.g., embedded WebViews lacking Input Events Level 2 support).
The StringPiece.fromJSON method trusted href attributes from the JSON payload without sanitization. An attacker could craft a draggable element containing a javascript: URI in the href attribute that, when dropped into a vulnerable editor, would bypass DOMPurify sanitization and inject executable JavaScript into the DOM.
Exploitation requires a specific environment (Level0InputController fallback) and social engineering (victim must drag and drop attacker-controlled content into the editor). Applications using server-side HTML sanitization (such as Rails' built-in sanitizer) are additionally protected, as the payload is neutralized on save.
Patches
Update Recommendation: Users should upgrade to Trix editor version 2.1.18 or later.
References
The XSS vulnerability was responsibly reported by Hackerone researcher newbiefromcoma.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-73427 a été découverte dans trix.
Des attaquants peuvent cibler un point d'entrée spécifique comme StringPiece.fromJSON à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour trix vers 2.1.18 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « trix CVE-2026-73427 » sur le site de l'éditeur.
CVE-2026-73427 (trix) — CWE-79
Surface d'attaque : StringPiece.fromJSON / href
Correctif : 2.1.18 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte trix. Les attaquants atteignent le code vulnérable via StringPiece.fromJSON.
Consultez l'avis de l'éditeur pour les versions affectées de trix. Surface d'attaque : StringPiece.fromJSON / href.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.1.18.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'trix' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
trixを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade trix to 2.1.18ステージング環境で 2.1.18 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。