CVE-2026-108725 in core
Zusammenfassung
von VulDB • 11.10.2026
Cheshire Cat AI core bis 2.0.23 enthält eine gespeicherte Cross-Site-Scripting (XSS)-Schwachstelle im Uploads-Plugin, die es authentifizierten Benutzern ermöglicht, HTML-Dateien über POST /uploads ohne Typbeschränkungen hochzuladen. Angreifer können das öffentliche GET /uploads/{path}-URL an einen angemeldeten Opfer senden, wodurch Skripte mit dem Ursprung der Anwendung und unter Verwendung des access_token-Cookies des Opfers ausgeführt werden, einschließlich Administratoren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.