CVE-2026-91922

See a problem?
Please try reporting it to the source first.
Source
https://cve.org/CVERecord?id=CVE-2026-91922
Import Source
https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-91922.json
JSON Data
https://api.osv.dev/v1/vulns/CVE-2026-91922
Published
2026-09-15T11:00:50Z
Modified
2026-09-17T03:47:28Z
Severity
  • 5.3 (Medium) CVSS_V4 - CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N CVSS Calculator
Summary
Steedos Platform through 3.0.15-beta.47 Reflected XSS via page render
Details

Steedos Platform through 3.0.15-beta.47 contains a reflected cross-site scripting vulnerability in the anonymous /api/page/render endpoint that fails to properly escape query parameters in inline script elements. Attackers can craft malicious links with script-terminating sequences in the schemaApi or data parameters to execute arbitrary JavaScript in victim sessions and steal X-Auth-Token credentials.

Database specific 
{
    "cna_assigner": "VulnCheck",
    "cwe_ids": [
        "CWE-79"
    ],
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/91xxx/CVE-2026-91922.json"
}
References

Affected packages

Git / github.com/steedos/steedos-platform

Affected ranges

Type
GIT
Repo
https://github.com/steedos/steedos-platform
Events
Introduced
0 Unknown introduced commit / All previous commits are affected
Fixed
044423a3f326d86cf17f0e45adcbd44d2d3b06dd
Database specific
Show details 
{
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "last_affected": "3.0.15-beta.47"
        },
        {
            "fixed": "3.0.15-beta.47"
        }
    ],
    "source": [
        "AFFECTED_FIELD",
        "DESCRIPTION"
    ]
}

Affected versions

2.*
2.2.53-beta.3
2.5.6-beta.2
2.5.6-beta.3
2.7.12-beta.2
2.7.15-beta.10
2.7.15-beta.11
2.7.15-beta.7
3.*
3.0.0-beta.3
v.*
v.1.6.1
v.2.2.52-beta.33
v1.*
v1.10.0
v1.10.1
v1.10.4
v1.10.5
v1.11.0
v1.12.0
v1.12.1
v1.12.4
v1.12.6
v1.13.0
v1.13.1
v1.13.4
v1.14.0
v1.14.2
v1.6.10
v1.6.11
v1.6.12
v1.6.7
v1.6.8
v1.6.9
v1.7.0
v1.7.5
v2.*
v2.1.111-beta.1
v2.1.111-beta.2
v2.1.111-beta.3
v2.1.115
v2.1.117
v2.1.78
v2.1.82
v2.2.12
v2.2.18
v2.2.23
v2.2.26
v2.2.28
v2.2.29
v2.2.32
v2.2.33
v2.2.34
v2.2.35
v2.2.37
v2.2.38
v2.2.39
v2.2.43
v2.2.44
v2.2.47
v2.2.48
v2.2.50-beta.1
v2.2.50-beta.2
v2.2.50-beta.4
v2.2.50-beta.6
v2.2.52-beta.1
v2.2.52-beta.11
v2.2.52-beta.2
v2.2.52-beta.21
v2.2.52-beta.22
v2.2.52-beta.27
v2.2.52-beta.3
v2.2.52-beta.32
v2.2.52-beta.33
v2.2.52-beta.34
v2.2.52-beta.35
v2.2.52-beta.36
v2.2.52-beta.37
v2.2.52-beta.4
v2.2.52-beta.5
v2.2.52-beta.6
v2.2.52-beta.7
v2.2.52-beta.9
v2.2.53
v2.2.53-beta.1
v2.2.53-beta.2
v2.2.53-beta.3
v2.2.53-beta.4
v2.2.53-beta.5
v2.2.53-beta.6
v2.2.54-beta.5
v2.2.54-beta.6
v2.2.54-beta.7
v2.2.54-beta.8
v2.2.55-beta.10
v2.2.55-beta.4
v2.2.55-beta.6
v2.2.55-beta.7
v2.2.55-beta.8
v2.2.55-beta.9
v2.2.6
v2.2.7
v2.2.8
v2.3.0-beta.1
v2.3.0-beta.10
v2.3.0-beta.11
v2.3.0-beta.12
v2.3.0-beta.13
v2.3.0-beta.14
v2.3.0-beta.2
v2.3.0-beta.20
v2.3.0-beta.23
v2.3.0-beta.24
v2.3.0-beta.26
v2.3.0-beta.28
v2.3.0-beta.3
v2.3.0-beta.36
v2.3.0-beta.37
v2.3.0-beta.4
v2.3.0-beta.5
v2.3.0-beta.6
v2.3.0-beta.7
v2.3.1-beta.1
v2.3.1-beta.3
v2.3.2-beta.10
v2.3.2-beta.11
v2.3.2-beta.12
v2.3.2-beta.3
v2.3.2-beta.4
v2.3.2-beta.5
v2.3.2-beta.6
v2.3.2-beta.7
v2.4.0-beta.1
v2.4.0-beta.20
v2.4.0-beta.21
v2.4.0-beta.28
v2.4.0-beta.29
v2.4.0-beta.31
v2.4.6
v2.5.0-beta.1
v2.5.0-beta.10
v2.5.0-beta.12
v2.5.0-beta.16
v2.5.0-beta.17
v2.5.0-beta.18
v2.5.0-beta.19
v2.5.0-beta.2
v2.5.0-beta.20
v2.5.0-beta.21
v2.5.0-beta.22
v2.5.0-beta.23
v2.5.0-beta.25
v2.5.0-beta.26
v2.5.0-beta.27
v2.5.0-beta.28
v2.5.0-beta.29
v2.5.0-beta.3
v2.5.0-beta.6
v2.5.0-beta.8
v2.5.0-beta.9
v2.5.0.beta.22
v2.5.10
v2.5.11
v2.5.11-beta.1
v2.5.11-beta.10
v2.5.11-beta.11
v2.5.11-beta.12
v2.5.11-beta.13
v2.5.11-beta.2
v2.5.11-beta.3
v2.5.11-beta.5
v2.5.11-beta.6
v2.5.11-beta.7
v2.5.11-beta.8
v2.5.11-beta.9
v2.5.12-beta.1
v2.5.12-beta.10
v2.5.12-beta.11
v2.5.12-beta.13
v2.5.12-beta.15
v2.5.12-beta.16
v2.5.12-beta.19
v2.5.12-beta.21
v2.5.12-beta.23
v2.5.12-beta.24
v2.5.12-beta.25
v2.5.12-beta.27
v2.5.12-beta.28
v2.5.12-beta.3
v2.5.12-beta.31
v2.5.12-beta.32
v2.5.12-beta.34
v2.5.12-beta.36
v2.5.12-beta.37
v2.5.12-beta.4
v2.5.12-beta.40
v2.5.12-beta.42
v2.5.12-beta.43
v2.5.12-beta.5
v2.5.12-beta.6
v2.5.12-beta.7
v2.5.12-beta.8
v2.5.13-beta.1
v2.5.13-beta.11
v2.5.13-beta.12
v2.5.13-beta.13
v2.5.13-beta.2
v2.5.13-beta.3
v2.5.13-beta.4
v2.5.13-beta.6
v2.5.13-beta.7
v2.5.13-beta.8
v2.5.14
v2.5.14-beta.10
v2.5.14-beta.11
v2.5.14-beta.12
v2.5.14-beta.13
v2.5.14-beta.14
v2.5.14-beta.16
v2.5.14-beta.3
v2.5.14-beta.4
v2.5.14-beta.5
v2.5.14-beta.9
v2.5.15
v2.5.15-beta.1
v2.5.15-beta.10
v2.5.15-beta.12
v2.5.15-beta.13
v2.5.15-beta.14
v2.5.15-beta.16
v2.5.15-beta.17
v2.5.15-beta.2
v2.5.15-beta.3
v2.5.15-beta.4
v2.5.15-beta.5
v2.5.15-beta.6
v2.5.15-beta.9
v2.5.16-beta.1
v2.5.16-beta.3
v2.5.17-beta.1
v2.5.17-beta.10
v2.5.17-beta.11
v2.5.17-beta.3
v2.5.17-beta.4
v2.5.17-beta.6
v2.5.17-beta.8
v2.5.17-beta.9
v2.5.20-beta.1
v2.5.20-beta.10
v2.5.20-beta.12
v2.5.20-beta.13
v2.5.20-beta.14
v2.5.20-beta.15
v2.5.20-beta.16
v2.5.20-beta.2
v2.5.20-beta.9
v2.5.3-beta.15
v2.5.3-beta.17
v2.5.3-beta.18
v2.5.3-beta.23
v2.5.3-beta.24
v2.5.3-beta.26
v2.5.3-beta.27
v2.5.3-beta.3
v2.5.3-beta.4
v2.5.3-beta.5
v2.5.3-beta.6
v2.5.3-beta.7
v2.5.3-beta.8
v2.5.3-beta.9
v2.5.4
v2.5.5
v2.5.5-beta.1
v2.5.6
v2.5.6-beta.1
v2.5.6-beta.4
v2.5.6-beta.5
v2.5.7
v2.5.8-beta.1
v2.5.8-beta.2
v2.5.8-beta.3
v2.5.8-beta.4
v2.5.8-beta.5
v2.6.2-beta.12
v2.6.2-beta.13
v2.6.2-beta.15
v2.6.2-beta.16
v2.6.2-beta.17
v2.6.2-beta.18
v2.6.2-beta.20
v2.6.2-beta.24
v2.6.2-beta.27
v2.6.2-beta.28
v2.6.2-beta.29
v2.6.2-beta.30
v2.6.2-beta.33
v2.6.2-beta.34
v2.6.2-beta.6
v2.6.2-beta.7
v2.6.2-beta.9
v2.6.4-beta.11
v2.6.4-beta.12
v2.6.4-beta.8
v2.6.4-beta.9
v2.6.6-beta.5
v2.7.10
v2.7.10-beta.12
v2.7.10-beta.13
v2.7.10-beta.14
v2.7.10-beta.15
v2.7.10-beta.16
v2.7.10-beta.17
v2.7.10-beta.18
v2.7.11
v2.7.11-beta.1
v2.7.11-beta.2
v2.7.11-beta.3
v2.7.12
v2.7.12-beta.1
v2.7.12-beta.10
v2.7.12-beta.11
v2.7.12-beta.2
v2.7.12-beta.3
v2.7.12-beta.4
v2.7.12-beta.5
v2.7.12-beta.6
v2.7.12-beta.7
v2.7.12-beta.8
v2.7.12-beta.9
v2.7.15
v2.7.15-beta.1
v2.7.15-beta.10
v2.7.15-beta.12
v2.7.15-beta.15
v2.7.15-beta.16
v2.7.15-beta.17
v2.7.15-beta.18
v2.7.15-beta.19
v2.7.15-beta.2
v2.7.15-beta.20
v2.7.15-beta.21
v2.7.15-beta.22
v2.7.15-beta.23
v2.7.15-beta.24
v2.7.15-beta.3
v2.7.15-beta.4
v2.7.15-beta.5
v2.7.15-beta.6
v2.7.15-beta.7
v2.7.15-beta.9
v2.7.16-beta.1
v2.7.16-beta.2
v2.7.16-beta.3
v2.7.16-beta.5
v2.7.16-beta.6
v2.7.16-beta.7
v2.7.16-beta.8
v2.7.16-beta.9
v3.*
v3.0.0
v3.0.0-beta.1
v3.0.0-beta.10
v3.0.0-beta.100
v3.0.0-beta.101
v3.0.0-beta.102
v3.0.0-beta.103
v3.0.0-beta.104
v3.0.0-beta.105
v3.0.0-beta.106
v3.0.0-beta.107
v3.0.0-beta.108
v3.0.0-beta.109
v3.0.0-beta.11
v3.0.0-beta.110
v3.0.0-beta.112
v3.0.0-beta.113
v3.0.0-beta.114
v3.0.0-beta.115
v3.0.0-beta.116
v3.0.0-beta.117
v3.0.0-beta.118
v3.0.0-beta.119
v3.0.0-beta.12
v3.0.0-beta.120
v3.0.0-beta.121
v3.0.0-beta.122
v3.0.0-beta.123
v3.0.0-beta.124
v3.0.0-beta.125
v3.0.0-beta.126
v3.0.0-beta.127
v3.0.0-beta.128
v3.0.0-beta.129
v3.0.0-beta.13
v3.0.0-beta.130
v3.0.0-beta.131
v3.0.0-beta.132
v3.0.0-beta.133
v3.0.0-beta.134
v3.0.0-beta.135
v3.0.0-beta.136
v3.0.0-beta.137
v3.0.0-beta.138
v3.0.0-beta.139
v3.0.0-beta.14
v3.0.0-beta.140
v3.0.0-beta.141
v3.0.0-beta.142
v3.0.0-beta.143
v3.0.0-beta.144
v3.0.0-beta.145
v3.0.0-beta.146
v3.0.0-beta.147
v3.0.0-beta.148
v3.0.0-beta.149
v3.0.0-beta.15
v3.0.0-beta.151
v3.0.0-beta.152
v3.0.0-beta.153
v3.0.0-beta.154
v3.0.0-beta.155
v3.0.0-beta.156
v3.0.0-beta.157
v3.0.0-beta.158
v3.0.0-beta.159
v3.0.0-beta.16
v3.0.0-beta.160
v3.0.0-beta.161
v3.0.0-beta.162
v3.0.0-beta.163
v3.0.0-beta.17
v3.0.0-beta.18
v3.0.0-beta.19
v3.0.0-beta.2
v3.0.0-beta.20
v3.0.0-beta.21
v3.0.0-beta.22
v3.0.0-beta.23
v3.0.0-beta.24
v3.0.0-beta.25
v3.0.0-beta.3
v3.0.0-beta.4
v3.0.0-beta.5
v3.0.0-beta.52
v3.0.0-beta.53
v3.0.0-beta.54
v3.0.0-beta.55
v3.0.0-beta.56
v3.0.0-beta.6
v3.0.0-beta.60
v3.0.0-beta.61
v3.0.0-beta.62
v3.0.0-beta.63
v3.0.0-beta.64
v3.0.0-beta.66
v3.0.0-beta.67
v3.0.0-beta.68
v3.0.0-beta.69
v3.0.0-beta.7
v3.0.0-beta.70
v3.0.0-beta.71
v3.0.0-beta.72
v3.0.0-beta.73
v3.0.0-beta.74
v3.0.0-beta.75
v3.0.0-beta.76
v3.0.0-beta.79
v3.0.0-beta.8
v3.0.0-beta.80
v3.0.0-beta.81
v3.0.0-beta.82
v3.0.0-beta.83
v3.0.0-beta.84
v3.0.0-beta.85
v3.0.0-beta.86
v3.0.0-beta.87
v3.0.0-beta.88
v3.0.0-beta.89
v3.0.0-beta.9
v3.0.0-beta.90
v3.0.0-beta.91
v3.0.0-beta.92
v3.0.0-beta.96
v3.0.0-beta.97
v3.0.0-beta.98
v3.0.0-beta.99
v3.0.1
v3.0.10
v3.0.11
v3.0.11-beta.1
v3.0.11-beta.2
v3.0.11-beta.3
v3.0.11-beta.4
v3.0.11-beta.5
v3.0.12
v3.0.12-beta.2
v3.0.13
v3.0.13-beta.1
v3.0.13-beta.10
v3.0.13-beta.11
v3.0.13-beta.12
v3.0.13-beta.13
v3.0.13-beta.14
v3.0.13-beta.15
v3.0.13-beta.17
v3.0.13-beta.18
v3.0.13-beta.19
v3.0.13-beta.2
v3.0.13-beta.20
v3.0.13-beta.21
v3.0.13-beta.22
v3.0.13-beta.23
v3.0.13-beta.24
v3.0.13-beta.25
v3.0.13-beta.26
v3.0.13-beta.27
v3.0.13-beta.28
v3.0.13-beta.29
v3.0.13-beta.3
v3.0.13-beta.30
v3.0.13-beta.31
v3.0.13-beta.32
v3.0.13-beta.33
v3.0.13-beta.34
v3.0.13-beta.35
v3.0.13-beta.36
v3.0.13-beta.37
v3.0.13-beta.38
v3.0.13-beta.39
v3.0.13-beta.4
v3.0.13-beta.40
v3.0.13-beta.41
v3.0.13-beta.42
v3.0.13-beta.43
v3.0.13-beta.44
v3.0.13-beta.45
v3.0.13-beta.46
v3.0.13-beta.47
v3.0.13-beta.48
v3.0.13-beta.49
v3.0.13-beta.5
v3.0.13-beta.50
v3.0.13-beta.51
v3.0.13-beta.52
v3.0.13-beta.53
v3.0.13-beta.54
v3.0.13-beta.55
v3.0.13-beta.56
v3.0.13-beta.57
v3.0.13-beta.58
v3.0.13-beta.59
v3.0.13-beta.6
v3.0.13-beta.7
v3.0.13-beta.8
v3.0.13-beta.9
v3.0.14
v3.0.14-beta.1
v3.0.14-beta.10
v3.0.14-beta.11
v3.0.14-beta.12
v3.0.14-beta.14
v3.0.14-beta.15
v3.0.14-beta.17
v3.0.14-beta.18
v3.0.14-beta.19
v3.0.14-beta.2
v3.0.14-beta.3
v3.0.14-beta.4
v3.0.14-beta.5
v3.0.14-beta.6
v3.0.14-beta.8
v3.0.14-beta.9
v3.0.15-beta.1
v3.0.15-beta.10
v3.0.15-beta.12
v3.0.15-beta.13
v3.0.15-beta.14
v3.0.15-beta.15
v3.0.15-beta.16
v3.0.15-beta.17
v3.0.15-beta.18
v3.0.15-beta.19
v3.0.15-beta.2
v3.0.15-beta.20
v3.0.15-beta.21
v3.0.15-beta.22
v3.0.15-beta.23
v3.0.15-beta.24
v3.0.15-beta.25
v3.0.15-beta.26
v3.0.15-beta.27
v3.0.15-beta.28
v3.0.15-beta.29
v3.0.15-beta.3
v3.0.15-beta.30
v3.0.15-beta.31
v3.0.15-beta.32
v3.0.15-beta.33
v3.0.15-beta.34
v3.0.15-beta.35
v3.0.15-beta.36
v3.0.15-beta.37
v3.0.15-beta.38
v3.0.15-beta.39
v3.0.15-beta.4
v3.0.15-beta.40
v3.0.15-beta.41
v3.0.15-beta.42
v3.0.15-beta.43
v3.0.15-beta.44
v3.0.15-beta.45
v3.0.15-beta.46
v3.0.15-beta.5
v3.0.15-beta.6
v3.0.15-beta.7
v3.0.15-beta.8
v3.0.15-beta.9
v3.0.2
v3.0.2-beta.1
v3.0.2-beta.10
v3.0.2-beta.11
v3.0.2-beta.12
v3.0.2-beta.13
v3.0.2-beta.14
v3.0.2-beta.2
v3.0.2-beta.3
v3.0.2-beta.4
v3.0.2-beta.5
v3.0.2-beta.6
v3.0.2-beta.7
v3.0.2-beta.8
v3.0.2-beta.9
v3.0.3
v3.0.3-beta.1
v3.0.3-beta.2
v3.0.3-beta.3
v3.0.3-beta.4
v3.0.4
v3.0.4-beta.1
v3.0.4-beta.10
v3.0.4-beta.11
v3.0.4-beta.2
v3.0.4-beta.3
v3.0.4-beta.4
v3.0.4-beta.5
v3.0.4-beta.6
v3.0.4-beta.7
v3.0.4-beta.8
v3.0.4-beta.9
v3.0.5
v3.0.5-beta.1
v3.0.5-beta.2
v3.0.5-beta.3
v3.0.5-beta.4
v3.0.6
v3.0.7
v3.0.7-beta.1
v3.0.7-beta.2
v3.0.7-beta.3
v3.0.7-beta.4
v3.0.8
v3.0.9
v3.0.9-beta.1
v3.0.9-beta.2
v3.0.9-beta.3

Database specific

source 
"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-91922.json"