CVE-2026-111442 in Backdrop
Zusammenfassung
von VulDB • 16.10.2026
Backdrop CMS Core 1.35.x vor Version 1.35.2 und 1.34.x vor Version 1.34.6 validiert hochgeladene SVG-Bilder nicht ausreichend, um sicherzustellen, dass sie potenziell gefährliche SVG-Tags enthalten können. SVG-Bilder können klickbare Links oder ausführbares Skripting enthalten. Durch das Hochladen eines speziell angefertigten SVG ist es möglich, Skripte im Browser auszuführen, wenn ein SVG-Bild angezeigt wird. Dieses Problem wird dadurch gemindert, dass der Angreifer in der Lage sein muss, SVG-Bilder hochzuladen und Backdrop alle hochgeladenen SVG-Bilder innerhalb von `<img>`-Tags einbettet, was die Ausführung des Skripts verhindert. Das SVG muss direkt über seine URL aufgerufen werden, um eingebettetes Skripting auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.