HI-SA-2026-001 Kritiek Gepubliceerd CVE-2026-90943
Stored XSS in parallax/filament-comments
In parallax/filament-comments tot en met versie 3.0.0 komen reacties zonder escaping op de pagina. Elke ingelogde gebruiker van het Filament-panel kan zo code in een reactie zetten die uitvoert in de browser van iedereen die de reacties bekijkt, ook beheerders. HackIndex meldde het in juli 2026 met een voorgestelde patch. De maker reageerde niet, daarom is via VulnCheck CVE-2026-90943 aangevraagd. Er is nog geen gepatchte versie.
Wie het raakt
- Sites met een Filament-panel waarop parallax/filament-comments tot en met 3.0.0 draait
- Filament 3 met pakketversie 1.x: kwetsbaar in de standaardinstallatie
- Filament 4 en 5 met pakketversie 2.x of 3.x: kwetsbaar als de markdown-editor aan staat
- Panels waar meer gebruikers dan alleen beheerders reacties kunnen plaatsen
Oplossen
Er is nog geen gepatchte versie. Beperk tot die tijd wie reacties mag plaatsen met een eigen policy in plaats van de meegeleverde, die iedereen toestaat. Gebruik op Filament 4 en 5 de rich editor in plaats van de markdown-editor, die schoont invoer aan de serverkant op. Of haal het package weg tot er een fix is.
Tijdlijn
- Gemeld bij Parallax via een GitHub Security Advisory, met een voorgestelde patch
- Herinnering gestuurd, geen reactie 14 dagen
- Tweede herinnering via GitHub en mail, geen reactie 39 dagen
- Derde herinnering aan alle maintainers, geen reactie 52 dagen
- Gemeld bij VulnCheck als CVE-uitgever 53 dagen
- CVE-2026-90943 gepubliceerd door VulnCheck 55 dagen
Referenties
- CVE-2026-90943 (NVD) (opent in een nieuw tabblad) nvd.nist.gov
- Advisory van VulnCheck (opent in een nieuw tabblad) www.vulncheck.com
- Package op Packagist (opent in een nieuw tabblad) packagist.org
Over deze melding
HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.
Vragen over deze melding of een correctie? Mail naar info [at] hackindex [dot] nl met HI‑SA‑2026‑001 in het onderwerp.
Je mag deze melding overnemen onder CC BY 4.0 (opent in een nieuw tabblad), met de referentie en deze URL als bron.
Waarom HackIndex onderzoek doet Termijnen en afspraken Over HackIndex
Zelf laten controleren
Dit soort fouten zit vaak in de manier waarop een app een package gebruikt. Een security code review kijkt daar gericht naar.