anonhaven
Ad

CVE-2026-105220

HIGH CVSS 4.0: 8,5 EPSS 0.15%
Обновлено 6 октября 2026
Twine
Параметр Значение
CVSS 8,5 (HIGH)
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Twine
Публичный эксплойт Нет

Twine 2 desktop through 2.12.0 contains a cross-site scripting vulnerability in importStories() that executes markup from imported story files in the editor window. Attackers can craft a story file whose script calls the twineElectron openWithScratchFile IPC bridge to write and open a .bat file, executing code as the user.

Характеристики атаки

Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Уязвимые продукты

klembot:twinejs

Ссылки 7

https://github.com/klembot/twinejs/issues/1706
GitHub Issue #1706
https://github.com/klembot/twinejs
NVD
https://github.com/klembot/twinejs/blob/2.12.0/src/util/import.ts#L134-L136
NVD
https://github.com/klembot/twinejs/blob/2.12.0/src/electron/main-process/scratc…
NVD
https://github.com/klembot/twinejs/commit/8e8a2bef5b1e20c58b99d22a2a4d8d867fb42…
NVD
https://github.com/klembot/twinejs/commit/3a9af28cabe9684730beb8b578132cad9bb5b…
NVD
https://www.vulncheck.com/advisories/twine-2-desktop-through-2.12.0-arbitrary-c…
VulnCheck Advisory: Twine 2 Desktop through 2.12.0 Arbitrary Code Execution via Imported Story Files
Share Post Share Share Share