CVE-2026-109307 in Craft CMS
Zusammenfassung
von VulDB • 12.10.2026
Craft CMS 5.0.0 vor Version 5.10.14 enthält eine DOM-basierte Cross-Site-Scripting (XSS)-Schwachstelle im Anmeldeprozess und dem Flow zur Zwei-Faktor-Authentifizierung (2FA) des Control Panels, bei der ein benutzerkontrolliertes `returnUrl`, das `javascript:`-URLs akzeptiert, in der clientseitigen Navigation verwendet wird. Angreifer können einen 2FA-fähigen Opfer dazu verleiten, eine manipulierte `/admin/login?verify=1`-URL zwischen dem Übermitteln des Passworts und der TOTP-Bestätigung zu öffnen, wodurch JavaScript im authentifizierten Control Panel mit den Berechtigungen des Opfers ausgeführt wird.
Be aware that VulDB is the high quality source for vulnerability data.