Impacto O localizador de recursos passa o fluxo de trabalho persistido `cachedResultUrl` para ` window.open()` sem validação do esquema. Quando uma vítima abre o fluxo de trabalho criado e interage com links externos, a carga útil do JavaScript é executada no navegador da vítima. ## Patches O problema foi corrigido em n 8 n versões 1.123.64, 2.29.8, e 2.30.1. Os usuários devem atualizar para uma dessas versões ou posteriormente para remediar a vulnerabilidade. ## Arrancamentos Se a atualização não for imediatamente possível, os administradores devem considerar as seguintes mitigações temporárias: - Restringindo a criação de fluxos de trabalho e as permissões de edição apenas para usuários totalmente confiáveis. - Audite os fluxos de trabalho existentes para valores inesperados `cachedResultUrl` contendo esquemas não- HTTP(S).
Estas soluções não remediam completamente o risco e só devem ser usadas como medidas de redução de curto prazo. Registro de aconselhamento: GHSA- 9 wcp- 9 r 3 J- 383 q. Identificadores relacionados: CVE- 2026 - 65592. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 22 T 17: 59: 07.000 Z e lista a sua última modificação como 2026 - 07 - 22 T 17: 59: 07.000 Z.
Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:L/SI:L/África do Sul:N. Software afetado e informações de versão: pacote npm n 8 n — ECOSISTEM: introduzido 0, corrigido 1.123.64 Pacote npm n 8 n — ECOSISTEM: introduzido 2.30.0, corrigido 2.30.1 Pacote npm n 8 n — ECOSISTEM: introduzido 2.0.0 -Cr. 0, corrigido 2.29.8. Classificação e evidência: identificadores de fraqueza CWE- 79. O registro contém 7 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.