5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
ByteDance DeerFlow versions prior to commit 5dbb362 contain a stored cross-site scripting vulnerability in the artifacts API that allows attackers to execute arbitrary scripts by uploading malicious HTML or script content as artifacts. Attackers can store malicious content that executes in the browser context when users view artifacts, leading to session compromise, credential theft, and arbitrary script execution.
Засегнати продукти
- Bytedance Inc. DeerFlow: преди 5dbb3623b2f0e490c8bb3cd81b1e3b1b12eae1a6
Вид слабост
История
- 27 март 2026 Публикувано
Други уязвимости в Bytedance Inc. DeerFlow
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-32859
- https://nvd.nist.gov/vuln/detail/CVE-2026-32859
- https://github.com/bytedance/deer-flow/pull/1389
- https://github.com/bytedance/deer-flow/commit/5dbb3623b2f0e490c8bb3cd81b1e3b1b12eae1a6
- https://www.vulncheck.com/advisories/bytedance-deerflow-stored-xss-via-inline-artifact-rendering