# Stored XSS in parallax/filament-comments

- **Referentie**: HI-SA-2026-001
- **Soort**: Kwetsbaarheid
- **Ernst**: Kritiek
- **Platform**: Packagist
- **Package**: parallax/filament-comments
- **Getroffen versies**: <= 3.0.0
- **CVE**: CVE-2026-90943
- **CWE**: CWE-79: Cross-site scripting
- **CVSS 4.0**: 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N)
- **CVSS 3.1**: 5.4 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
- **Onderzocht door**: [Joshua van der Poll](https://hackindex.nl/author/joshua-van-der-poll)

In parallax/filament-comments tot en met versie 3.0.0 komen reacties zonder escaping op de pagina. Elke ingelogde gebruiker van het Filament-panel kan zo code in een reactie zetten die uitvoert in de browser van iedereen die de reacties bekijkt, ook beheerders. HackIndex meldde het in juli 2026 met een voorgestelde patch. De maker reageerde niet, daarom is via VulnCheck CVE-2026-90943 aangevraagd. Er is nog geen gepatchte versie.

## Wie het raakt

- Sites met een Filament-panel waarop parallax/filament-comments tot en met 3.0.0 draait
- Filament 3 met pakketversie 1.x: kwetsbaar in de standaardinstallatie
- Filament 4 en 5 met pakketversie 2.x of 3.x: kwetsbaar als de markdown-editor aan staat
- Panels waar meer gebruikers dan alleen beheerders reacties kunnen plaatsen

## Oplossen

Er is nog geen gepatchte versie. Beperk tot die tijd wie reacties mag plaatsen met een eigen policy in plaats van de meegeleverde, die iedereen toestaat. Gebruik op Filament 4 en 5 de rich editor in plaats van de markdown-editor, die schoont invoer aan de serverkant op. Of haal het package weg tot er een fix is.

## Tijdlijn

- 2026-07-21: Gemeld bij Parallax via een GitHub Security Advisory, met een voorgestelde patch
- 2026-08-04: Herinnering gestuurd, geen reactie
- 2026-08-29: Tweede herinnering via GitHub en mail, geen reactie
- 2026-09-11: Derde herinnering aan alle maintainers, geen reactie
- 2026-09-12: Gemeld bij VulnCheck als CVE-uitgever
- 2026-09-14: CVE-2026-90943 gepubliceerd door VulnCheck

## Referenties

- [CVE-2026-90943 (NVD)](https://nvd.nist.gov/vuln/detail/CVE-2026-90943)
- [Advisory van VulnCheck](https://www.vulncheck.com/advisories/parallax-filament-comments-through-3.0.0-stored-xss-via-comment-body)
- [Package op Packagist](https://packagist.org/packages/parallax/filament-comments)

## Over deze melding

HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.

Vragen over deze melding of een correctie? Mail naar het adres in security.txt, met HI-SA-2026-001 in het onderwerp.

Je mag deze melding overnemen onder [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/), met de referentie en deze URL als bron.

- [Waarom HackIndex onderzoek doet](https://hackindex.nl/research)
- [Termijnen en afspraken](https://hackindex.nl/security)
- [security.txt](https://hackindex.nl/.well-known/security.txt)

Bron: https://hackindex.nl/research/hi-sa-2026-001