CVE-2026-71555
PILOS: Reverse tabnabbing in room description
Description
PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. From 2.1.0 until 4.14.1, PILOS does not send a Cross-Origin-Opener-Policy response header, so pages opened by PILOS via a link that opens a new browsing context (e.g., target="_blank") retain a window.opener reference back to the originating PILOS tab. A malicious destination page reached this way can use window.opener to navigate or manipulate the original PILOS tab, a technique known as reverse tabnabbing, potentially redirecting an authenticated user to a phishing page that mimics PILOS. This issue is fixed in version 4.14.1.
INFO
Published Date :
Aug. 6, 2026, 10:18 p.m.
Last Modified :
Oct. 24, 2026, 3:10 p.m.
Remotely Exploit :
Yes !
Source :
[email protected]
CVSS Scores
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | MEDIUM | [email protected] | ||||
| CVSS 3.1 | MEDIUM | MITRE-CVE |
Solution
- Update PILOS to version 4.14.1 or later.
- Configure response headers to prevent tabnabbing.
- Educate users about phishing risks.
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2026-71555.
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2026-71555 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2026-71555
weaknesses.
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2026-71555 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2026-71555 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 24, 2026
Action Type Old Value New Value Changed Translation Title: PILOS de THM-Health, Description: PILOS (Plataforma para Seminarios Interactivos en Vivo y en Línea) es un frontend para BigBlueButton. Desde la versión 2.1.0 hasta la 4.14.1, PILOS no envía una cabecera de respuesta Cross-Origin-Opener-Policy, por lo que las páginas abiertas por PILOS a través de un enlace que abre un nuevo contexto de navegación (por ejemplo, target=’_blank’) retienen una referencia window.opener de vuelta a la pestaña PILOS de origen. Una página de destino maliciosa alcanzada de esta manera puede usar window.opener para navegar o manipular la pestaña PILOS original, una técnica conocida como reverse tabnabbing, redirigiendo potencialmente a un usuario autenticado a una página de phishing que imita a PILOS. Este problema está solucionado en la versión 4.14.1. Title: PILOS de THM-Health, Description: PILOS (Plataforma para Seminarios Interactivos en Vivo y en Línea) es un frontend para BigBlueButton. Desde la versión 2.1.0 hasta la 4.14.1, PILOS no envía una cabecera de respuesta Cross-Origin-Opener-Policy, por lo que las páginas abiertas por PILOS a través de un enlace que abre un nuevo contexto de navegación (por ejemplo, target=’_blank’) retienen una referencia window.opener de vuelta a la pestaña PILOS de origen. Una página de destino maliciosa alcanzada de esta manera puede usar window.opener para navegar o manipular la pestaña PILOS original, una técnica conocida como reverse tabnabbing, redirigiendo potencialmente a un usuario autenticado a una página de phishing que imita a PILOS. Este problema está solucionado en la versión 4.14.1. -
CVE Translated by [email protected]
Oct. 23, 2026
Action Type Old Value New Value Added Translation Title: PILOS de THM-Health, Description: PILOS (Plataforma para Seminarios Interactivos en Vivo y en Línea) es un frontend para BigBlueButton. Desde la versión 2.1.0 hasta la 4.14.1, PILOS no envía una cabecera de respuesta Cross-Origin-Opener-Policy, por lo que las páginas abiertas por PILOS a través de un enlace que abre un nuevo contexto de navegación (por ejemplo, target=’_blank’) retienen una referencia window.opener de vuelta a la pestaña PILOS de origen. Una página de destino maliciosa alcanzada de esta manera puede usar window.opener para navegar o manipular la pestaña PILOS original, una técnica conocida como reverse tabnabbing, redirigiendo potencialmente a un usuario autenticado a una página de phishing que imita a PILOS. Este problema está solucionado en la versión 4.14.1. -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 07, 2026
Action Type Old Value New Value Added SSVC {'id': 'CVE-2026-71555', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'none'}, {'automatable': 'no'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-08-07T17:25:46.465635Z'} -
New CVE Received by [email protected]
Aug. 06, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'THM-Health', 'product': 'PILOS', 'versions': [{'status': 'affected', 'version': '>= 2.1.0, < 4.14.1'}]}] Added Description PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. From 2.1.0 until 4.14.1, PILOS does not send a Cross-Origin-Opener-Policy response header, so pages opened by PILOS via a link that opens a new browsing context (e.g., target="_blank") retain a window.opener reference back to the originating PILOS tab. A malicious destination page reached this way can use window.opener to navigate or manipulate the original PILOS tab, a technique known as reverse tabnabbing, potentially redirecting an authenticated user to a phishing page that mimics PILOS. This issue is fixed in version 4.14.1. Added CVSS V3.1 AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N Added CWE CWE-1022 Added Reference https://github.com/THM-Health/PILOS/commit/b50f2bd07c4f4a7d6a9981578238ae3579275d81 Added Reference https://github.com/THM-Health/PILOS/releases/tag/v4.14.1 Added Reference https://github.com/THM-Health/PILOS/security/advisories/GHSA-j4wr-p8gh-xrw5