CVE-2026-24906
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność Stored XSS w ustawieniach edytora backendu. Pola Markup Classes (używane do stylów akapitów, stylów inline, stylów tabel itp.) nie sanityzowały danych wejściowych do prawidłowych znaków nazw klas CSS. Złośliwe wartości były renderowane bez sanityzacji w menu rozwijanych edytora Froala, umożliwiając wykonanie JavaScriptu, gdy użytkownik otworzył RichEditor. Może to prowadzić do eskalacji uprawnień, jeśli superużytkownik otworzy RichEditor podczas rutynowej edycji treści, i wymaga uwierzytelnionego dostępu do backendu z uprawnieniami do ustawień edytora.
Ocena ryzyka
Atakujący z dostępem do backendu może wykonać złośliwy skrypt w przeglądarce superużytkownika, przejmując jego sesję i eskalując uprawnienia, co może prowadzić do pełnej kompromitacji systemu CMS.
Rekomendacja
Zaktualizuj October CMS do wersji 3.7.14 lub 4.1.10. Jako obejście, ogranicz uprawnienia do ustawień edytora wyłącznie do w pełni zaufanych administratorów.
Inne podatności w October CMS
Zobacz wszystkie- CVE-2026-101005Wysokie
Wykryto podatność w October CMS do wersji 4.3.4. Dotyczy funkcji validateExternalImageHost w pliku System/Classes/ResizeImages.php w komponencie SSRF Protection. Manipulacja prowadzi do podatności Server-Side Request Forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2017-16941Wysokie
October CMS w wersji do 1.0.428 nie blokuje użycia plików .htaccess w motywach, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez pobranie archiwum ZIP motywu z /backend/cms/themes, a następnie przesłanie i zaimportowanie zmodyfikowanego archiwum z dwoma nowymi plikami: plikiem .php i .htaccess.
- CVE-2017-1000195Wysokie
Wersja 412 systemu October CMS jest podatna na wstrzykiwanie obiektów PHP w funkcjonalności przenoszenia zasobów, co umożliwia usuwanie plików ograniczonych przez uprawnienia plików na serwerze.
- CVE-2017-1000119Wysokie
October CMS w wersji 412 jest podatny na wykonanie kodu PHP w funkcjonalności przesyłania plików, co może prowadzić do kompromitacji strony oraz potencjalnie innych aplikacji na serwerze.
- CVE-2021-32648WysokieAktywnie exploitowane
Podatność w pakiecie october/system platformy October CMS pozwala atakującemu na żądanie resetu hasła konta, a następnie uzyskanie dostępu do konta za pomocą specjalnie spreparowanego żądania. Problem został naprawiony w Build 472 i wersji 1.1.5.
- CVE-2017-1000197Krytyczne
October CMS w wersji 412 jest podatny na modyfikację ścieżki pliku w funkcjonalności przenoszenia zasobów, co może prowadzić do tworzenia złośliwych plików na serwerze.
- CVE-2017-1000196Krytyczne
October CMS w wersji 412 jest podatny na wykonanie kodu PHP w funkcjonalności menedżera zasobów, co może prowadzić do kompromitacji strony oraz potencjalnie innych aplikacji na serwerze.
- CVE-2017-1000194Krytyczne
Wersja 412 systemu October CMS jest podatna na modyfikację konfiguracji Apache poprzez funkcjonalność przesyłania plików, co może prowadzić do kompromitacji strony oraz innych aplikacji na serwerze.
- CVE-2026-49400Niskie
October CMS w wersjach przed 3.7.17 i 4.2.21 zawiera podatność na iniekcję obiektów PHP w module systemowym. Backendowy trait `SessionMaker` przechowywał stan sesji widgetów jako `base64(serialize(...))` i odczytywał go przez `unserialize()` bez ograniczenia `allowed_classes`, co umożliwiało atakującemu wstrzyknięcie zserializowanych danych i wywołanie łańcuchów gadżetów PHP. Problem dotyczy tylko instalacji z włączonym trybem Safe Mode, który jest opcjonalny i stosowany głównie w scenariuszach z niezaufanymi użytkownikami.
- CVE-2026-46696Niskie
Podatność w module systemu October CMS dotyczy polityki bezpieczeństwa sandboxa Twig, gdy włączony jest tryb cms.safe_mode. Poprzez łańcuch obejść można było uzyskać dostęp do magazynu sesji Laravel oraz surowych metod SQL, co pozwalało użytkownikowi backendu z uprawnieniami do edycji znaczników CMS odczytywać dowolne dane z bazy i podszyć się pod sesję innego użytkownika. Luka została naprawiona w wersjach 3.7.17 i 4.2.21.
Oryginalny opis (angielski, źródło NVD)
October is a Content Management System (CMS) and web platform. Versions prior to 3.7.14 and 4.1.10 contain a Stored Cross-Site Scripting (XSS) vulnerability in the Backend Editor Settings. The Markup Classes fields (used for paragraph styles, inline styles, table styles, etc.) did not sanitize input to valid CSS class name characters. Malicious values were rendered unsanitized in Froala editor dropdown menus, allowing JavaScript execution when any user opened a RichEditor. Exploitation could lead to privilege escalation if a superuser opens any RichEditor during routine content editing (e.g., editing a blog post), and requires authenticated backend access with editor settings permissions. This issue has been fixed in versions 3.7.14 and 4.1.10. To workaround this issue, restrict editor settings permissions to fully trusted administrators only
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS