CVE-2026-24906 in October
الملخص
بحسب VulDB • 10/05/2026
أكتوبر (October) هو نظام إدارة محتوى (CMS) ومنصة ويب. تحتوي الإصدارات السابقة للإصدارين 3.7.14 و4.1.10 على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting - XSS) في إعدادات محرر الخلفية (Backend Editor Settings). لم تقم حقول فئات الترميز (Markup Classes)، المستخدمة لأنماط الفقرات، والأنماط المضمنة، وأنماط الجداول، وغيرها، بتنظيف المدخلات لتحويلها إلى أحرف صالحة لأسماء فئات CSS. تم عرض القيم الخبيثة دون تنظيف في قوائم منسدلة لمحرر Froala، مما سمح بتنفيذ أكواد JavaScript عند فتح أي مستخدم لمحرر غني (RichEditor). قد يؤدي الاستغلال إلى تصعيد الامتيازات إذا قام مستخدم فائق (superuser) بفتح أي محرر غني أثناء تحرير المحتوى الروتيني (مثل تحرير منشور مدونة)، ويتطلب ذلك وصولاً مُصادقاً عليه إلى الخلفية مع صلاحيات إعدادات المحرر. تم إصلاح هذه المشكلة في الإصدارين 3.7.14 و4.1.10. ولتجاوز هذه المشكلة، قيّد صلاحيات إعدادات المحرر على المديرين الموثوقين بهم تماماً فقط.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.