CVE-2026-25133
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
October CMS w wersjach przed 3.7.14 i 4.1.10 zawiera podatność na trwałe XSS w logice sanityzacji SVG. Wzorzec regex używany do usuwania atrybutów obsługi zdarzeń (np. onclick, onload) może zostać ominięty przez spreparowany ładunek, co pozwala na przesyłanie złośliwych plików SVG przez Menedżera Mediów z osadzonym JavaScriptem. Eksploatacja może prowadzić do eskalacji uprawnień, jeśli superużytkownik wyświetli lub osadzi złośliwy SVG, i wymaga uwierzytelnionego dostępu do backendu z uprawnieniami do przesyłania multimediów.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w kontekście przeglądarki superużytkownika, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszej eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację October CMS do wersji 3.7.14 lub 4.1.10 oraz ograniczenie uprawnień do przesyłania multimediów.
Oryginalny opis (angielski, źródło NVD)
October is a Content Management System (CMS) and web platform. Versions prior to 3.7.14 and 4.1.10 contain a stored cross-site scripting (XSS) vulnerability in the SVG sanitization logic. The regex pattern used to strip event handler attributes (such as onclick or onload) could be bypassed using a crafted payload that exploits how the pattern matches attribute boundaries, allowing malicious SVG files to be uploaded through the Media Manager with embedded JavaScript. Exploitation could lead to privilege escalation if a superuser views or embeds the malicious SVG, and requires authenticated backend access with media upload permissions. The SVG must be viewed or embedded in a page for the payload to trigger. This issue has been fixed in versions 3.7.14 and 4.1.10.