CVE-2026-26028CryptPad是一款端到端加密的协作办公套件，其在2026.2.0之前的版本中存在严重的安全漏洞。由于Diffmarked.js组件的HTML清理程序存在属性过滤不完整的问题，攻击者可绕过对iframe等受限标签的安全检查。该漏洞允许攻击者在用户文档中注入任意HTML代码，破坏了CryptPad的沙箱隔离机制，可能导致恶意链接注入或更严重的交互式内容攻击。
该漏洞的根源在于CryptPad中Diffmarked.js的HTML清理机制存在逻辑缺陷。虽然清理程序定义了禁止和受限标签列表，但`<iframe>`仅被归类为“受限”标签。在执行过滤逻辑时，系统仅校验了`src`属性，却完全忽略了`srcdoc`等其他关键属性。攻击者利用这一盲点，可以构造一个包含合法`blob:`协议`src`属性的iframe标签以通过基础验证，同时利用`srcdoc`属性嵌入恶意HTML或JavaScript代码。这种攻击手法成功绕过了CryptPad设计的bounce沙箱限制，使得恶意代码能够在受害者的浏览器上下文中直接渲染和执行，从而对机密性和完整性构成威胁。