CleverTap Web SDK is vulnerable to DOM-based XSS via handleCustomHtmlPreviewPostMessageEvent function

CAO 8.3CVE-2026-26861 · GHSA-j5mf-6rh3-rhgg · Công bố 27/02/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-26861 là lỗ hổng mức CAO (CVSS 8.3) ảnh hưởng clevertap web sdk (clevertap), clevertap-web-sdk.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.21%, cao hơn 10.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.15.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
clevertap web sdk clevertap	`≤ 1.15.2`	Chưa có bản vá
clevertap-web-sdk npm	`< 1.15.3`	`1.15.3`

Mô tả

CleverTap Web SDK version 1.15.2 and earlier is vulnerable to Cross-site Scripting (XSS) via window.postMessage. The handleCustomHtmlPreviewPostMessageEvent function in src/util/campaignRender/nativeDisplay.js performs insufficient origin validation using the includes() method, which can be bypassed by an attacker using a subdomain.

Mô tả của NVD

CleverTap Web SDK version 1.15.2 and earlier is vulnerable to Cross-Site Scripting (XSS) via window.postMessage. The handleCustomHtmlPreviewPostMessageEvent function in src/util/campaignRender/nativeDisplay.js performs insufficient origin validation using the includes() method, which can be bypassed by an attacker using a subdomain