Vulnerabilidad en Baserow (CVE-2026-76837)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
24/08/2026
Última modificación:
12/10/2026
Descripción
Baserow interpola el nombre de visualización de un usuario en el marcado de mención de texto enriquecido sin codificación HTML. PATCH /api/user/account/ almacena el valor 'first_name' textualmente, y el renderizador de menciones en web-frontend/modules/core/editor/mention.js construye su elemento con un literal de plantilla que coloca el nombre en un atributo 'data-label' y el cuerpo del elemento sin escapar. Un nombre que contiene una comilla doble cierra ese atributo y la etiqueta de apertura, por lo que el marcado siguiente aterriza en el contenido del elemento. El resultado se renderiza a través de 'v-html' por los componentes de campo de texto enriquecido, por lo que cualquier celda de texto enriquecido que menciona la cuenta ejecuta el script almacenado para cada miembro del espacio de trabajo que ve la tabla, sin un clic. Cualquier miembro del espacio de trabajo, en el nivel de permiso más bajo, puede establecer el nombre y alcanzar a todos los demás miembros del espacio de trabajo, y la carga útil persiste hasta que se cambie el nombre o se elimine la fila que lo menciona. La versión 2.3.0 escapa el valor antes de la interpolación.
Impacto
Puntuación base 4.0
5.30
Gravedad 4.0
MEDIA
Puntuación base 3.x
6.40
Gravedad 3.x
MEDIA
Referencias a soluciones, herramientas e información
- https://github.com/baserow/baserow
- https://github.com/baserow/baserow/blob/2.2.2/web-frontend/modules/core/editor/mention.js
- https://github.com/baserow/baserow/commit/a870dc0d38c9
- https://github.com/baserow/baserow/pull/5618
- https://www.vulncheck.com/advisories/baserow-before-stored-cross-site-scripting-via-rich-text-mention-display-name