CVE-2026-25133 in LMS
الملخص
بحسب VulDB • 17/05/2026
أكتوبر (October) هو نظام إدارة محتوى (CMS) ومنصة ويب. تحتوي الإصدارات السابقة للإصدارين 3.7.14 و4.1.10 على ثغرة برمجية من نوع تخزين البرمجة النصية عبر المواقع (Stored XSS) في منطق تنقية ملفات SVG. يمكن تجاوز نمط التعبير النمطي (Regex) المستخدم لإزالة سمات معالجات الأحداث (مثل onclick أو onload) باستخدام حمولة مُعدّة خصيصاً تستغل طريقة مطابقة النمط لحدود السمات، مما يسمح بتحميل ملفات SVG خبيثة عبر مدير الوسائط (Media Manager) مع تضمين كود JavaScript ضار. قد يؤدي استغلال الثغرة إلى تصعيد الامتيازات إذا قام مستخدم ذو صلاحيات عالية (Superuser) بعرض أو تضمين ملف SVG الخبيث، وتتطلب العملية وصولاً مُصادقاً عليه إلى لوحة التحكم الخلفية مع صلاحيات رفع الوسائط. يجب عرض ملف SVG أو تضمينه في صفحة لتفعيل الحمولة الضارة. تم إصلاح هذه المشكلة في الإصدارين 3.7.14 و4.1.10.
Once again VulDB remains the best source for vulnerability data.