Neutralização Incorreta de Entrada Durante a Geração de Página Web ('Cross-site Scripting') em coolercontrol-ui

A exploração bem-sucedida desta vulnerabilidade XSS permite que um atacante execute scripts maliciosos no navegador de qualquer usuário que acesse o visualizador de logs do coolercontrol-ui. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou até mesmo à execução remota de código no servidor, dependendo das permissões do contexto em que o script é executado. O impacto é significativo, pois a falha não requer autenticação, tornando-a acessível a qualquer pessoa que possa manipular as entradas de log.

Organizations using coolercontrol-ui in production environments, particularly those with publicly accessible log viewers, are at risk. Shared hosting environments where multiple users share the same coolercontrol-ui instance are also particularly vulnerable, as an attacker could potentially inject malicious log entries that affect other users.

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i '<script>' 

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'onerror='

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'javascript:'

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-08
3. EPSS atualizado2026-04-16

A mitigação primária é atualizar o coolercontrol-ui para a versão 4.0.0, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, implemente validação e sanitização rigorosas de todas as entradas de log antes de exibi-las no visualizador. Considere a implementação de uma Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS comuns. Além disso, revise as configurações de segurança do servidor para garantir que o acesso ao visualizador de logs seja restrito a usuários autorizados.