CVE-2020-15249 in October
Zusammenfassung
von VulDB • 30.06.2026
October ist eine kostenlose, quelloffene und selbst gehostete CMS-Plattform auf Basis des Laravel PHP Frameworks. In October CMS ab Version 1.0.319 bis vor Version 1.0.469 war es Backend-Benutzern mit Zugriff zum Hochladen von Dateien gestattet, SVG-Dateien ohne jegliche Sanitization der hochgeladenen Dateien zu übertragen. Da SVG-Dateien vom Browser als HTML geparst werden können, bestand theoretisch die Möglichkeit, JavaScript hochzuladen und auszuführen, das unter einer Pfadstruktur innerhalb der Domain der Website (z. B. /storage/app/media/evil.svg) ausgeführt wird; jedoch mussten sie ihr Ziel dazu überreden, diesen Speicherort direkt in dessen Browser aufzurufen, da das Backend SVGs nirgendwo inline anzeigt – SVGs werden im Backend lediglich als Bildressourcen dargestellt und können somit nicht ausgeführt werden. Das Problem wurde mit Build 469 (v1.0.469) sowie v1.1.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.